Laburpen exekutiboa
CVE‑2026‑0300 ahultasuna, larritasun kritikokoa (CVSS 9.3), Palo Alto Networks-en PAN‑OS softwareari eragiten dio eta autentifikaziorik gabeko erasotzaileei root pribilegioekin kode arbitrarioa exekutatzea ahalbidetzen die, bereziki prestatutako paketeak User‑ID autentifikazio atarira bidaliz. Akats honek konfiantzazkoak ez diren sareetara irekitako PA‑Series eta VM‑Series firewall-ak kaltetzen ditu, eta jada ustiapen saiakerak atzeman dira; horregatik, gomendatzen da adabakiak aplikatzea, atarirako sarbidea barne sareetara mugatzea edo beharrezkoa ez bada desgaitzea arriskua murrizteko.
Eragindako baliabideak
- PAN-OS 12.1 (bertsio eragindakorrak: < 12.1.4-h5, < 12.1.7)
- PAN-OS 11.2 (bertsio eragindakorrak: < 11.2.4-h17, < 11.2.7-h13, < 11.2.10-h6, < 11.2.12)
- PAN-OS 11.1 (bertsio eragindakorrak: < 11.1.4-h33, < 11.1.6-h32, < 11.1.7-h6, < 11.1.10-h25, < 11.1.13-h5, < 11.1.15)
- PAN-OS 10.2 (bertsio eragindakorrak: < 10.2.7-h34, < 10.2.10-h36, < 10.2.13-h21, < 10.2.16-h7, < 10.2.18-h6)
Azterketa teknikoa
- CVE-2026-0300: Palo Alto Networks-en PAN‑OS softwareko User-ID™ Authentication Portal zerbitzuan (Captive Portal izenez ere ezaguna) dagoen buffer gainezkatze ahultasunak aukera ematen dio autentifikaziorik gabeko erasotzaile bati PA eta VM serieetako firewall-etan root pribilegioekin kode arbitrarioa exekutatzeko, bereziki prestatutako paketeak bidaliz.
- CWE-787
- CVSS: 9.3 (kritikoa)
- CVSS bektorea: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H
- Esplotazioa: Detektatua
Arintzea/Konponbidea
Ekoizleak honako ekintza hauek gomendatzen ditu CVE-2026-0300 ahultasuna arintzeko:
- User-ID™ Autentifikazio Atarira sarbidea murriztea:
- Sarbidea soilik konfiantzazko eremuetara mugatu.
- Jarraitu adierazitako pausoak:
- Komunitatean argitaratutako artikuluan.
- Ezagutzaren base ofizialean.
- User-ID™ Autentifikazio Ataria desgaitzea:
- Desgaitu ez bada beharrezkoa.
- Segurtasun-eguneratzeak aplikatzea:
- Itxaron eta instalatu PAN-OSen bertsio berriak, ahultasuna konpontzen dutenak.
- Jarraitu fabrikatzaileak emandako eguneratze-egutegia.