CVE-2026-0284
KrytyczneCVSS 9.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 19 - wyżej niż 19% wszystkich znanych CVE
Streszczenie
Podatność na wstrzykiwanie XML w funkcji Large Scale VPN (LSVPN) oprogramowania PAN-OS firmy Palo Alto Networks umożliwia nieuwierzytelnionemu atakującemu z dostępem sieciowym wstrzyknięcie złośliwej treści XML, co może prowadzić do ujawnienia informacji lub uszkodzenia wewnętrznych danych satelitarnych LSVPN. Panorama, Cloud NGFW i Prisma Access nie są dotknięte tą podatnością.
Ocena ryzyka
Ryzyko obejmuje potencjalne ujawnienie poufnych informacji lub naruszenie integralności danych satelitarnych LSVPN, co może zakłócić działanie sieci VPN na dużą skalę.
Rekomendacja
Zaleca się natychmiastowe zastosowanie poprawek dostarczonych przez Palo Alto Networks dla podatnych wersji PAN-OS oraz ograniczenie dostępu sieciowego do funkcji LSVPN tylko do zaufanych źródeł.
Inne podatności w Palo Alto Networks PAN-OS
Zobacz wszystkie- CVE-2017-15942Wysokie
Palo Alto Networks PAN-OS w wersjach przed 6.1.19, 7.0.x przed 7.0.19, 7.1.x przed 7.1.13 oraz 8.0.x przed 8.0.6 umożliwia zdalnym atakującym spowodowanie odmowy usługi poprzez wektory związane z interfejsem zarządzania.
- CVE-2017-7218Wysokie
Interfejs zarządzania w Palo Alto Networks PAN-OS przed wersją 7.1.9 pozwala zdalnym uwierzytelnionym użytkownikom na uzyskanie podwyższonych uprawnień poprzez nieokreślone parametry żądania.
- CVE-2016-9151Wysokie
Palo Alto Networks PAN-OS w wersjach przed 5.0.20, 5.1.x przed 5.1.13, 6.0.x przed 6.0.15, 6.1.x przed 6.1.15, 7.0.x przed 7.0.11 oraz 7.1.x przed 7.1.6 umożliwia lokalnym użytkownikom uzyskanie uprawnień poprzez spreparowane wartości nieokreślonych zmiennych środowiskowych.
- CVE-2016-1712Wysokie
Palo Alto Networks PAN-OS w wersjach przed 5.0.19, 5.1.x przed 5.1.12, 6.0.x przed 6.0.14, 6.1.x przed 6.1.12 oraz 7.0.x przed 7.0.8 może pozwolić lokalnym użytkownikom na uzyskanie uprawnień poprzez niewłaściwe oczyszczanie lokalnego wywołania root_reboot.
- CVE-2016-3654Wysokie
Interfejs wiersza poleceń (CLI) zarządzania urządzeniem w systemie Palo Alto Networks PAN-OS przed wersją 5.0.18 oraz w wersjach 5.1.x przed 5.1.11, 6.0.x przed 6.0.13, 6.1.x przed 6.1.10 i 7.0.x przed 7.0.5H2 pozwala zdalnie uwierzytelnionym administratorom na wykonywanie dowolnych poleceń systemu operacyjnego za pomocą parametru polecenia SSH.
- CVE-2017-15940Krytyczne
Komponent zarządzania przechwytywaniem pakietów w interfejsie webowym Palo Alto Networks PAN-OS przed wersją 6.1.19, 7.0.x przed 7.0.19, 7.1.x przed 7.1.14 oraz 8.0.x przed 8.0.6 pozwala zdalnym uwierzytelnionym użytkownikom na wykonanie dowolnego kodu za pomocą nieokreślonych wektorów.
- CVE-2016-9150Krytyczne
Przepełnienie bufora w interfejsie zarządzania siecią w Palo Alto Networks PAN-OS przed wersją 5.0.20, 5.1.x przed 5.1.13, 6.0.x przed 6.0.15, 6.1.x przed 6.1.15, 7.0.x przed 7.0.11 oraz 7.1.x przed 7.1.6 umożliwia zdalnym atakującym wykonanie dowolnego kodu.
- CVE-2016-3655Krytyczne
Interfejs zarządzania w Palo Alto Networks PAN-OS przed wersją 5.0.18, 6.0.x przed 6.0.13, 6.1.x przed 6.1.10 oraz 7.0.x przed 7.0.5 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń systemowych za pomocą nieokreślonego wywołania API.
- CVE-2026-0301Wysokie
W funkcji filtrowania adresów URL w oprogramowaniu Palo Alto Networks PAN-OS występuje podatność na ujawnienie informacji, która umożliwia nieuwierzytelnionemu użytkownikowi z dostępem sieciowym uzyskanie wrażliwych informacji. Panorama nie jest dotknięta tą podatnością.
- CVE-2026-0273Wysokie
Podatność na wstrzykiwanie poleceń w oprogramowaniu PAN-OS firmy Palo Alto Networks umożliwia uwierzytelnionemu administratorowi ominięcie ograniczeń systemowych i wykonanie dowolnych poleceń jako użytkownik root. Aby wykorzystać tę lukę, użytkownik musi mieć dostęp do interfejsu CLI lub Web UI PAN-OS.
Oryginalny opis (angielski, źródło NVD)
An XML injection vulnerability in the Large Scale VPN (LSVPN) functionality of Palo Alto Networks PAN-OS® software enables an unauthenticated attacker with network access to inject malicious XML content, potentially leading to information disclosure or corruption of internal LSVPN satellite data. Panorama, Cloud NGFW, and Prisma® Access are not impacted by this vulnerability.