Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

「PAN-OS」脆弱性、攻撃条件を修正 - 一部緩和策が「効果なし」に

Palo Alto Networks製のファイアウォールに搭載されている「PAN-OS」にゼロデイ脆弱性が見つかった問題で、攻撃が可能となる環境の条件が修正された。これまで条件を変更することが緩和策のひとつとしてアナウンスされてきたが、効果がないため注意が必要だ。

同社は現地時間4月12日、「PAN-OS」が備えるリモートアクセスVPN機能「GlobalProtect」におけるコマンドインジェクションの脆弱性「CVE-2024-3400」を公表。3月下旬より悪用が確認されており、同社は緩和策をアナウンスするとともに現地時間4月14日より順次アップデートを提供している。

同社は、当初セキュリティアドバイザリにおいて「GlobalProtect」と「デバイステレメトリ機能」のいずれも有効化している場合に影響を受けると説明していたが、同月17日にアドバイザリを更新し、同条件を見直した。

「デバイステレメトリ機能」については、有効化していない状態でも攻撃が成立すると説明。「デバイステレメトリ機能」を無効化することを緩和策のひとつとしてきたが、無効の状態であっても攻撃にさらされるおそれがあり、異なる対策を講じる必要がある。

同社では順次アップデートをリリースしており、回避策や緩和策を適用済みであっても修正版へ早急にアップデートし、デバイスを保護するよう求めている。

記事修正のお知らせ:アドバイザ公表当初、脆弱性は「GlobalProtect」を構成している場合に影響があるとされていましたが、その後「GlobalProtect portal」を構成している場合も影響があると修正されていることから一部記載を見直しました。

(Security NEXT - 2024/04/17 ) このエントリーをはてなブックマークに追加

PR

関連記事

メール8件を「CC」送信、メアドが流出 - 焼津市
IvantiのMDM製品にSQLiなど複数脆弱性 - アップデートがリリース
国税庁装うフィッシング攻撃の報告が増加 - 滞納で差押えなどと不安煽る
実践的サイバー防御演習「CYDER」の開催日程が発表 - 受付も開始
6月に「Interop Tokyo 2024」開催 - テーマは「AI社会とインターネット」
小学校で1クラス分の家庭状況調査書が所在不明に - 大阪市
クラウド環境などでログ収集に活用される「Fluent Bit」に脆弱性
フィッシング報告数が再び10万件超に - 目立つ料金督促の偽装
「Zabbix」のサーバに深刻な脆弱性 - 3月の更新で修正済み
悪用脆弱性リストに医療データ連携ソフト関連など2件が登録 - 今月5度目の追加