L'équipe Vigil@nce veille les vulnérabilités publiques qui affectent votre parc informatique, puis propose des correctifs sécurité, une base et des outils pour y remédier.

Vulnérabilités informatiques de PaloAlto Firewall PA-***

bulletin de vulnérabilité informatique 20918

PAN-OS : Cross Site Scripting

Synthèse de la vulnérabilité

Un attaquant peut provoquer un Cross Site Scripting de PAN-OS, afin d'exécuter du code JavaScript dans le contexte du site web.
Produits concernés : Palo Alto Firewall PA***, PAN-OS.
Gravité : 2/4.
Conséquences : accès/droits client.
Provenance : document.
Date création : 19/10/2016.
Références : PAN-SA-2016-0031, VIGILANCE-VUL-20918.

Description de la vulnérabilité

Le produit PAN-OS dispose d'un service web.

Cependant, les données reçues ne sont pas filtrées avant d'être insérées dans les documents HTML générés.

Un attaquant peut donc provoquer un Cross Site Scripting de PAN-OS, afin d'exécuter du code JavaScript dans le contexte du site web.
Bulletin Vigil@nce complet... (Essai gratuit)

annonce de vulnérabilité informatique 20917

PAN-OS : Cross Site Scripting

Synthèse de la vulnérabilité

Un attaquant peut provoquer un Cross Site Scripting de PAN-OS, afin d'exécuter du code JavaScript dans le contexte du site web.
Produits concernés : Palo Alto Firewall PA***, PAN-OS.
Gravité : 1/4.
Conséquences : accès/droits client.
Provenance : compte privilégié.
Date création : 19/10/2016.
Références : PAN-SA-2016-0029, VIGILANCE-VUL-20917.

Description de la vulnérabilité

Le produit PAN-OS dispose d'un service web.

Cependant, les données reçues ne sont pas filtrées avant d'être insérées dans les documents HTML générés.

Un attaquant peut donc provoquer un Cross Site Scripting de PAN-OS, afin d'exécuter du code JavaScript dans le contexte du site web.
Bulletin Vigil@nce complet... (Essai gratuit)

alerte de vulnérabilité informatique 20846

PAN-OS : déni de service via Web Management Server

Synthèse de la vulnérabilité

Un attaquant peut provoquer une erreur fatale via Web Management Server de PAN-OS, afin de mener un déni de service.
Produits concernés : Palo Alto Firewall PA***, PAN-OS.
Gravité : 2/4.
Conséquences : déni de service du service.
Provenance : client intranet.
Date création : 12/10/2016.
Références : PAN-SA-2016-0027, VIGILANCE-VUL-20846.

Description de la vulnérabilité

Un attaquant peut provoquer une erreur fatale via Web Management Server de PAN-OS, afin de mener un déni de service.
Bulletin Vigil@nce complet... (Essai gratuit)

avis de vulnérabilité 20774

PAN-OS : obtention d'information via GlobalProtect Portal

Synthèse de la vulnérabilité

Un attaquant peut utiliser GlobalProtect Portal de PAN-OS, afin d'obtenir des informations sensibles.
Produits concernés : Palo Alto Firewall PA***, PAN-OS.
Gravité : 2/4.
Conséquences : lecture de données.
Provenance : client intranet.
Date création : 05/10/2016.
Références : PAN-SA-2016-0026, VIGILANCE-VUL-20774.

Description de la vulnérabilité

Le produit PAN-OS dispose d'un service web GlobalProtect Portal.

Cependant, ce service affiche la version de PAN-OS.

Un attaquant peut donc utiliser GlobalProtect Portal de PAN-OS, afin d'obtenir des informations sensibles.
Bulletin Vigil@nce complet... (Essai gratuit)

annonce de vulnérabilité 20562

PAN-OS : déni de service via Web Management Interface

Synthèse de la vulnérabilité

Un attaquant peut provoquer une erreur fatale via Web Management Interface de PAN-OS, afin de mener un déni de service.
Produits concernés : Palo Alto Firewall PA***, PAN-OS.
Gravité : 2/4.
Conséquences : déni de service du serveur, déni de service du service, déni de service du client.
Provenance : document.
Date création : 09/09/2016.
Références : PAN-SA-2016-0024, VIGILANCE-VUL-20562.

Description de la vulnérabilité

Un attaquant peut provoquer une erreur fatale dans la Web Management Interface de PAN-OS, afin de mener un déni de service.
Bulletin Vigil@nce complet... (Essai gratuit)

alerte de vulnérabilité CVE-2016-1712

PAN-OS : cinq vulnérabilités

Synthèse de la vulnérabilité

Un attaquant peut employer plusieurs vulnérabilités de PAN-OS.
Produits concernés : Palo Alto Firewall PA***, PAN-OS.
Gravité : 2/4.
Conséquences : accès/droits administrateur, accès/droits privilégié, accès/droits client, lecture de données, déni de service du serveur, déni de service du service.
Provenance : compte utilisateur.
Nombre de vulnérabilités dans ce bulletin : 5.
Date création : 15/07/2016.
Références : CVE-2016-1712, PAN-SA-2016-0012, PAN-SA-2016-0013, PAN-SA-2016-0014, PAN-SA-2016-0015, PAN-SA-2016-0016, VIGILANCE-VUL-20121.

Description de la vulnérabilité

Plusieurs vulnérabilités ont été annoncées dans PAN-OS.

Un attaquant peut contourner les mesures de sécurité via root_reboot, afin d'élever ses privilèges. [grav:2/4; CVE-2016-1712, PAN-SA-2016-0012]

Un attaquant peut provoquer une erreur fatale via Captive Portal, afin de mener un déni de service. [grav:2/4; PAN-SA-2016-0013]

Un attaquant peut provoquer un Cross Site Scripting via Policy, afin d'exécuter du code JavaScript dans le contexte du site web. [grav:2/4; PAN-SA-2016-0014]

Un attaquant peut contourner les mesures de sécurité via cron, afin d'élever ses privilèges. [grav:2/4; PAN-SA-2016-0015]

Un attaquant peut contourner les mesures de sécurité via Web Interface, afin d'élever ses privilèges. [grav:2/4; PAN-SA-2016-0016]
Bulletin Vigil@nce complet... (Essai gratuit)

alerte de vulnérabilité informatique CVE-2016-2219

PAN-OS : Cross Site Scripting

Synthèse de la vulnérabilité

Un attaquant peut provoquer un Cross Site Scripting de PAN-OS, afin d'exécuter du code JavaScript dans le contexte du site web.
Produits concernés : Palo Alto Firewall PA***, PAN-OS.
Gravité : 2/4.
Conséquences : accès/droits client.
Provenance : client intranet.
Date création : 28/06/2016.
Références : CVE-2016-2219, PAN-SA-2016-0009, VIGILANCE-VUL-19986.

Description de la vulnérabilité

Le produit PAN-OS dispose d'un service web.

Cependant, l'écho des données reçues ne sont pas filtrées avant d'être insérées dans les documents HTML générés.

Un attaquant peut donc provoquer un Cross Site Scripting de PAN-OS, afin d'exécuter du code JavaScript dans le contexte du site web.
Bulletin Vigil@nce complet... (Essai gratuit)

vulnérabilité informatique 19985

Palo Alto Networks firewalls : déni de service via API

Synthèse de la vulnérabilité

Un attaquant non authentifié peut provoquer une erreur via l'authentification par clé de l'API de Palo Alto Networks firewalls, afin de mener un déni de service.
Produits concernés : Palo Alto Firewall PA***, PAN-OS.
Gravité : 1/4.
Conséquences : déni de service du service.
Provenance : client intranet.
Date création : 28/06/2016.
Références : PAN-SA-2016-0008, VIGILANCE-VUL-19985.

Description de la vulnérabilité

Le produit Palo Alto Networks firewalls dispose d'une API de configuration.

Cependant, une erreur d'intégration de l'authentification par clé dans l'API permet de provoquer une erreur fatale.

Un attaquant non authentifié peut donc provoquer une erreur via l'authentification par clé de l'API de Palo Alto Networks firewalls, afin de mener un déni de service.
Bulletin Vigil@nce complet... (Essai gratuit)

annonce de vulnérabilité informatique CVE-2016-4971

wget : corruption de fichier via une redirection vers une URL FTP

Synthèse de la vulnérabilité

Un attaquant peut modifier un fichier arbitraire en redirigant unaccess HTTP vers un serveur FTP.
Produits concernés : Debian, Fedora, openSUSE, openSUSE Leap, Solaris, Palo Alto Firewall PA***, PAN-OS, RHEL, Ubuntu.
Gravité : 2/4.
Conséquences : lecture de données, création/modification de données.
Provenance : serveur internet.
Date création : 20/06/2016.
Références : bulletinjul2016, CVE-2016-4971, DLA-536-1, FEDORA-2016-24135dfe43, FEDORA-2016-2db8cbc2fd, openSUSE-SU-2016:2027-1, openSUSE-SU-2016:2277-1, PAN-SA-2017-0003, PAN-SA-2017-0012, PAN-SA-2017-0013, PAN-SA-2017-0014, PAN-SA-2017-0016, RHSA-2016:2587-02, USN-3012-1, VIGILANCE-VUL-19927.

Description de la vulnérabilité

Un attaquant peut modifier un fichier arbitraire en redirigant unaccess HTTP vers un serveur FTP.
Bulletin Vigil@nce complet... (Essai gratuit)

annonce de vulnérabilité CVE-2016-2105 CVE-2016-2106 CVE-2016-2107

OpenSSL : six vulnérabilités

Synthèse de la vulnérabilité

Un attaquant peut employer plusieurs vulnérabilités de OpenSSL.
Produits concernés : SDS, SES, SNS, Tomcat, Mac OS X, StormShield, Blue Coat CAS, ProxyAV, ProxySG par Blue Coat, Cisco ASR, Cisco Aironet, Cisco ATA, Cisco AnyConnect Secure Mobility Client, Cisco ACE, ASA, Cisco Catalyst, Cisco Content SMA, Cisco ESA, IOS par Cisco, IOS XE Cisco, IOS XR Cisco, Cisco IPS, IronPort Email, IronPort Encryption, Nexus par Cisco, NX-OS, Cisco Prime Access Registrar, Prime Collaboration Assurance, Cisco Prime DCNM, Prime Infrastructure, Cisco Prime LMS, Cisco PRSM, Cisco Router, Secure ACS, Cisco CUCM, Cisco IP Phone, Cisco MeetingPlace, Cisco Wireless IP Phone, Cisco WSA, Cisco Wireless Controller, XenServer, Debian, PowerPath, Black Diamond, ExtremeXOS, Summit, BIG-IP Hardware, TMOS, Fedora, FileZilla Server, FortiAnalyzer, FortiAnalyzer Virtual Appliance, FortiOS, FreeBSD, Android OS, HP Operations, HP Switch, AIX, IRAD, QRadar SIEM, IBM System x Server, Tivoli Storage Manager, Tivoli Workload Scheduler, WebSphere MQ, Juniper J-Series, Junos OS, Junos Space, NSM Central Manager, NSMXpress, MariaDB ~ précis, McAfee NSM, Meinberg NTP Server, MySQL Community, MySQL Enterprise, Data ONTAP, NETASQ, NetScreen Firewall, ScreenOS, Nodejs Core, OpenBSD, OpenSSL, openSUSE, openSUSE Leap, Oracle Communications, Oracle Directory Server, Oracle Directory Services Plus, Oracle Fusion Middleware, Oracle GlassFish Server, Oracle Identity Management, Oracle iPlanet Web Proxy Server, Oracle iPlanet Web Server, Solaris, Tuxedo, VirtualBox, WebLogic, Oracle Web Tier, Palo Alto Firewall PA***, PAN-OS, Percona Server, pfSense, Pulse Connect Secure, Puppet, Python, RHEL, JBoss EAP par Red Hat, SAS Management Console, Shibboleth SP, Slackware, Splunk Enterprise, stunnel, SUSE Linux Enterprise Desktop, SLES, Synology DSM, Synology DS***, Synology RS***, Nessus, Ubuntu, VxWorks, X2GoClient.
Gravité : 3/4.
Conséquences : accès/droits utilisateur, lecture de données, création/modification de données, déni de service du service, déni de service du client.
Provenance : client internet.
Nombre de vulnérabilités dans ce bulletin : 6.
Date création : 03/05/2016.
Références : 1982949, 1985850, 1987779, 1993215, 1995099, 1998797, 2003480, 2003620, 2003673, 510853, 9010083, bulletinapr2016, bulletinapr2017, CERTFR-2016-AVI-151, CERTFR-2016-AVI-153, CERTFR-2018-AVI-160, cisco-sa-20160504-openssl, cpuapr2017, cpujan2018, cpujul2016, cpujul2017, cpujul2018, cpuoct2016, cpuoct2017, cpuoct2018, CTX212736, CTX233832, CVE-2016-2105, CVE-2016-2106, CVE-2016-2107, CVE-2016-2108, CVE-2016-2109, CVE-2016-2176, DLA-456-1, DSA-3566-1, ESA-2017-142, FEDORA-2016-05c567df1a, FEDORA-2016-1e39d934ed, FEDORA-2016-e1234b65a2, FG-IR-16-026, FreeBSD-SA-16:17.openssl, HPESBGN03728, HPESBHF03756, HT206903, JSA10759, K23230229, K36488941, K51920288, K75152412, K93600123, MBGSA-1603, MIGR-5099595, MIGR-5099597, NTAP-20160504-0001, openSUSE-SU-2016:1237-1, openSUSE-SU-2016:1238-1, openSUSE-SU-2016:1239-1, openSUSE-SU-2016:1240-1, openSUSE-SU-2016:1241-1, openSUSE-SU-2016:1242-1, openSUSE-SU-2016:1243-1, openSUSE-SU-2016:1273-1, openSUSE-SU-2016:1566-1, openSUSE-SU-2017:0487-1, PAN-SA-2016-0020, PAN-SA-2016-0028, RHSA-2016:0722-01, RHSA-2016:0996-01, RHSA-2016:1137-01, RHSA-2016:1648-01, RHSA-2016:1649-01, RHSA-2016:1650-01, RHSA-2016:2054-01, RHSA-2016:2055-01, RHSA-2016:2056-01, RHSA-2016:2073-01, SA123, SA40202, SB10160, SOL23230229, SOL36488941, SOL51920288, SOL75152412, SP-CAAAPPQ, SPL-119440, SPL-121159, SPL-123095, SSA:2016-124-01, STORM-2016-002, SUSE-SU-2016:1206-1, SUSE-SU-2016:1228-1, SUSE-SU-2016:1231-1, SUSE-SU-2016:1233-1, SUSE-SU-2016:1267-1, SUSE-SU-2016:1290-1, SUSE-SU-2016:1360-1, SUSE-SU-2018:0112-1, TNS-2016-10, USN-2959-1, VIGILANCE-VUL-19512, VN-2016-006, VN-2016-007.

Description de la vulnérabilité

Plusieurs vulnérabilités ont été annoncées dans OpenSSL.

Un attaquant peut se positionner en Man-in-the-Middle et utiliser l'algorithme AES CBC avec un serveur supportant AES-NI, afin de lire ou modifier des données de la session. Cette vulnérabilité a initialement été corrigée dans les versions 1.0.1o et 1.0.2c, mais jamais annoncée. [grav:3/4; CVE-2016-2108]

Un attaquant peut se positionner en Man-in-the-Middle et utiliser l'algorithme AES CBC avec un serveur supportant AES-NI, afin de lire ou modifier des données de la session. [grav:3/4; CVE-2016-2107]

Un attaquant peut provoquer un buffer overflow dans EVP_EncodeUpdate(), qui est principalement utilisée par les outils en ligne de commande, afin de mener un déni de service, et éventuellement d'exécuter du code. [grav:2/4; CVE-2016-2105]

Un attaquant peut provoquer un buffer overflow dans EVP_EncryptUpdate(), qui est difficile à atteindre, afin de mener un déni de service, et éventuellement d'exécuter du code. [grav:2/4; CVE-2016-2106]

Un attaquant peut provoquer une consommation excessive de mémoire dans d2i_CMS_bio(), afin de mener un déni de service. [grav:2/4; CVE-2016-2109]

Un attaquant peut forcer la lecture à une adresse invalide dans les applications utilisant X509_NAME_oneline(), afin de mener un déni de service, ou d'obtenir des informations sensibles. [grav:2/4; CVE-2016-2176]
Bulletin Vigil@nce complet... (Essai gratuit)
Notre base de données contient d'autres bulletins. Vous pouvez utiliser un essai gratuit pour les consulter.

Consulter les informations sur PaloAlto Firewall PA-*** :