Palo Alto confirmă impactul vulnerabilității Brotli asupra PAN-OS

Palo Alto Networks a confirmat că o vulnerabilitate critică a protocolului Brotli afectează anumite implementări ale firewall-ului PAN-OS și clientul Prisma Cloud Application Security Transporter.

Identificată ca CVE-2026-111497, vulnerabilitatea ar putea permite unui atacator să corupă memoria, să expună date sensibile, să provoace blocarea unui serviciu sau, eventual, să execute cod fără autentificare.

Vulnerabilitatea are un scor CvSS de 9.2/10, deși Palo Alto îi atribuie un nivel moderat de urgență. Compania afirmă că nu are cunoștință de exploatări rău intenționate. Analiza sa privind produsele și serviciile cloud este încă în curs, astfel încât utilizatorii ar trebui să verifice avizul oficial de securitate pentru modificări ale versiunilor afectate și programul de lansare a patch-urilor.

Vulnerabilitatea se află în fișierul c/dec/decode.c din decodorul Brotli al Google. Un stream comprimat special creat poate declanșa o scriere în afara limitelor de memorie, ceea ce înseamnă că decodorul scrie dincolo de zona de memorie prevăzută. Versiunile Brotli care remediază această vulnerabilitate includ 1.0.10, 1.1.1 și 1.2.1 pentru ramurile de lansare respective.

În cazul PAN-OS, expunerea depinde de configurație. Firewall-urile din seriile PA și VM trebuie să aibă activate atât inspectarea traficului Brotli, cât și decriptarea TLS/SSL pe dataplane, care procesează traficul de rețea. Interfața web de administrare și API-ul nu sunt afectate. Inspectarea Brotli este dezactivată în mod implicit și nu este acceptată în versiunile PAN-OS anterioare versiunii 11.2.4.

Versiunile PAN-OS 11.1 și 10.2 nu sunt afectate, la fel ca și dispozitivele virtuale Panorama și dispozitivele din seria M. Administratorii care utilizează PAN-OS 11.2.4 sau o versiune ulterioară pot verifica cu ajutorul comenzii show system setting brotli. Un rezultat de tipul Enabled: yes confirmă că inspecția Brotli este activă, dar decriptarea TLS/SSL trebuie, de asemenea, să fie activată pentru condițiile de expunere menționate.

Palo Alto recomandă dezactivarea funcției de inspectare Brotli până la apariția unor remedieri. Prin intermediul interfeței de linie de comandă, administratorii pot rula comanda set system setting brotli-encoding disable, apoi pot utiliza comanda show system setting brotli pentru a confirma că starea este Enabled: no. În PAN-OS 12.1.2 și versiunile ulterioare, aceștia pot, în schimb, să acceseze Device > Setup > Content-ID, să debifeze opțiunea Allow Brotli Encoding și să salveze configurația.

Actualizările PAN-OS programate se vor desfășura în perioada 27–30 octombrie. Acestea includ versiunile 12.2.4-h1, 12.1.4-h13, 12.1.7-h11, 12.1.10-h3, 11.2.4-h23, 11.2.7-h23, 11.2.10-h17, 11.2.13-h4 și 11.2.16-h1. Aceste date sunt estimative și nu reprezintă o confirmare a disponibilității fiecărei versiuni. De remarcat faptul că versiunea 11.2.10-h16 remediază doar problemele legate de PHP, în timp ce versiunea 11.2.10-h17 remediază atât problemele legate de PHP, cât și de Brotli.

Utilizatorii clientului Prisma Cloud Application Security Transporter ar trebui să efectueze actualizarea la versiunea 0.2.9 sau o versiune ulterioară. Palo Alto afirmă că serviciile cloud enumerate, inclusiv ADEM, Cloud Identity Engine, Hub și Prisma AIRS Gateway, au fost remediate fără ca utilizatorii să fie nevoiți să întreprindă vreo acțiune.

În cazul firewall-urilor expuse, prioritatea imediată este dezactivarea funcției de inspectare Brotli, verificarea setării și urmărirea patch-ului corespunzător pentru implementare, odată ce acesta va fi disponibil.

Sursă: https://cybersecuritynews.com/brotli-vulnerability-affects-pan-os/