SAML身份驗證機制繞過CVE-2020-2021漏洞是怎么樣的

這篇文章將為大家詳細講解有關(guān)SAML身份驗證機制繞過CVE-2020-2021漏洞是怎么樣的，文章內(nèi)容質(zhì)量較高，因此小編分享給大家做個參考，希望大家閱讀完這篇文章后對相關(guān)知識有一定的了解。

0x00 漏洞背景

2020年06月30日， 360CERT監(jiān)測發(fā)現(xiàn)Palo Alto官方發(fā)布了SAML身份驗證機制繞過的風(fēng)險通告，該漏洞編號為CVE-2020-2021，漏洞等級：高危。

安全聲明標(biāo)記語言（SAML）是用于根據(jù)用戶在另一上下文中的會話將其登錄到當(dāng)前應(yīng)用程序中的標(biāo)準(zhǔn)。

SAML身份驗證機制存在身份驗證繞過的威脅。當(dāng)SAML開啟,同時Validate Identity Provider Certificate(驗證身份提供者證書)選項關(guān)閉時，未經(jīng)身份驗證的遠程攻擊者可以通過該漏洞繞過SAML身份驗證機制訪問受保護的資源。

對此，360CERT建議廣大用戶及時安裝最新補丁，做好資產(chǎn)自查以及預(yù)防工作，以免遭受黑客攻擊。

0x01 風(fēng)險等級

360CERT對該漏洞的評定結(jié)果如下

0x02 漏洞詳情

該漏洞有三個前置利用條件：

1. 使用SAML身份驗證機制進行身份驗證。

2. Validate Identity Provider Certificate(驗證身份提供者證書)選項關(guān)閉。

3. 遠程攻擊者可以訪問到存在漏洞的服務(wù)器。

只要符合以上三點，且基于SAML單點登錄身份驗證保護的資源，都受到該漏洞的影響：

• GlobalProtect Gateway

• GlobalProtect Portal

• GlobalProtect Clientless VPN

• Authentication and Captive Portal

• PAN-OS next-generation firewalls (PA-Series, VM-Series)

• Panorama web interfaces

• Prisma Access

對于GlobalProtect Gateways、GlobalProtect Portal、Clientless VPN、Captive Portal和Prisma Access這幾個產(chǎn)品來說，未經(jīng)身份驗證的攻擊者可以通過該漏洞繞過目標(biāo)服務(wù)器的身份驗證機制，訪問到受到保護的資源。但是攻擊者無法影響產(chǎn)品的完整性，也無法篡改普通用戶的會話。

對于PAN-OS及Panorama web interfaces這兩款產(chǎn)品來說，未經(jīng)身份驗證的攻擊者可以以管理員的身份登錄到產(chǎn)品的后臺，并有權(quán)執(zhí)行對應(yīng)的管理操作。

根據(jù)官方描述，目前該漏洞未捕獲到在野利用。

0x03 影響版本

• PAN-OS 9.1：<9.1.3版本

• PAN-OS 9.0：<9.0.9版本

• PAN-OS 8.1：<8.1.15版本

• PAN-OS 8.0：全版本

該漏洞不影響PAN-OS 7.1版本。

0x04 修復(fù)建議

• PAN-OS 9.1：升級到PAN-OS 9.1.3版本

• PAN-OS 9.0：升級到PAN-OS 9.0.9版本

• PAN-OS 8.1：升級到PAN-OS 8.1.15版本

• PAN-OS 8.0：PAN-OS 8.0已于2019年10月31日停止維護，建議用戶更新到最新版本

0x05 相關(guān)空間測繪數(shù)據(jù)

360安全大腦-Quake網(wǎng)絡(luò)空間測繪系統(tǒng)通過對全網(wǎng)資產(chǎn)測繪，發(fā)現(xiàn)Palo Alto在全球均有廣泛使用，具體分布如下圖所示。

0x06 產(chǎn)品側(cè)解決方案

360城市級網(wǎng)絡(luò)安全監(jiān)測服務(wù)

360安全大腦的QUAKE資產(chǎn)測繪平臺通過資產(chǎn)測繪技術(shù)手段，對該類 漏洞 進行監(jiān)測，請用戶聯(lián)系相關(guān)產(chǎn)品區(qū)域負責(zé)人獲取對應(yīng)產(chǎn)品。

關(guān)于SAML身份驗證機制繞過CVE-2020-2021漏洞是怎么樣的就分享到這里了，希望以上內(nèi)容可以對大家有一定的幫助，可以學(xué)到更多知識。如果覺得文章不錯，可以把它分享出去讓更多的人看到。