PAN-OS'ta IPv6 paketleriyle güvenlik politikası atlatılabiliyordu

Palo Alto Networks'ün Temmuz bülteninde yer alan CVE-2026-0280, puanı düşük olmasına rağmen bir güvenlik duvarının temel işlevini doğrudan ilgilendiriyor: politika uygulaması. Açık, PAN-OS veri düzlemindeki IPv6 paket işleme mantığında bulunuyor ve kimliği doğrulanmamış bir saldırganın, normalde engellenmesi gereken trafiği korunan servislere ulaştırmasına imkân verebiliyor.

Puanlama ve koşullar

Üretici açığı CVSS 4.0 ölçeğinde 1.7 ile "düşük" olarak derecelendirse de temel puan 6.3 ve önerilen aciliyet "orta". Sorun, arabellek boyutunun hatalı hesaplanması (CWE-131) olarak tanımlanıyor. Dışarıdan bir araştırmacı tarafından bildirildi; üretici kötü niyetli kullanımdan haberdar olmadığını belirtiyor.

Reklam Sponsorlu içerik alanıÜrün duyurularınızı ve etkinliklerinizi doğru kitleye ulaştırın.Haber içi · Detaylar ›

Açıktan etkilenmek için en az bir arayüzde IPv6'nın etkin olması gerekiyor. Bu, Layer3 arayüz ayarlarındaki IPv6 sekmesinden kontrol edilebiliyor. Cloud NGFW ve Panorama etkilenmiyor.

Düzeltilmiş sürümler

• PAN-OS 12.1: 12.1.4-h8, 12.1.7-h2, 12.1.8 veya sonrası
• PAN-OS 11.2: 11.2.4-h20, 11.2.7-h18, 11.2.10-h11, 11.2.13 veya sonrası
• PAN-OS 11.1: 11.1.4-h35, 11.1.6-h35, 11.1.7-h8, 11.1.10-h30, 11.1.13-h9, 11.1.16 veya sonrası
• PAN-OS 10.2: 10.2.7-h36, 10.2.10-h39, 10.2.13-h23, 10.2.16-h9, 10.2.18-h8 veya sonrası
• Prisma Access: 11.2.7-h18 ve 10.2.10-h39 (planlı bakımla uygulanıyor)

Desteği bitmiş PAN-OS sürümlerinin tamamı etkileniyor.

Geçici önlem

Üretici, yükseltme hemen yapılamıyorsa varsayılan olarak açık gelen "Non SYN TCP Reject" ayarının etkin olduğundan emin olunmasını öneriyor. Bu ayar, SYN bayrağı taşımayan ve oturumu olmayan TCP paketlerinin reddedilmesini sağlıyor. Ancak tam çözüm olarak yalnızca yükseltme gösteriliyor.

Ne yapılmalı?

• IPv6 etkin arayüzü olan tüm PAN-OS cihazlarını listeleyin; IPv6 yalnızca "açık bırakılmış" ama kullanılmıyorsa kapatmayı değerlendirin.
• Non SYN TCP Reject ayarının bir nedenle kapatılıp kapatılmadığını denetleyin.
• Cihazları dalınıza uygun düzeltilmiş sürüme yükseltin.
• IPv6 üzerinden gelen ve politika ile eşleşmemesi beklenen trafiği log ve oturum tablolarında gözden geçirin.