CVSS: 7.1EPSS: 0%CPEs: 4EXPL: 0CVE-2020-2005 – PAN-OS: GlobalProtect Clientless VPN session hijacking
https://notcve.org/view.php?id=CVE-2020-2005
A cross-site scripting (XSS) vulnerability exists when visiting malicious websites with the Palo Alto Networks GlobalProtect Clientless VPN that can compromise the user's active session. This issue affects: PAN-OS 7.1 versions earlier than 7.1.26; PAN-OS 8.1 versions earlier than 8.1.13; PAN-OS 9.0 versions earlier than 9.0.7; All versions of PAN-OS 8.0. Existe una vulnerabilidad de cross-site scripting (XSS(XSS) al visitar sitios web maliciosos con la VPN sin cliente GlobalProtect de Palo Alto Networks que puede comprometer la sesión activa del usuario. Este problema afecta: PAN-OS 7.1 versiones anteriores a la versión 7.1.26; PAN-OS 8.1 versiones anteriores a la versión 8.1.13; PAN-OS 9.0 versiones anteriores a la versión 9.0.7; Todas las versiones de PAN-OS 8.0. • https://security.paloaltonetworks.com/CVE-2020-2005 • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') •
CVSS: 8.5EPSS: 0%CPEs: 5EXPL: 0CVE-2020-2003 – PAN-OS: Authenticated administrator can delete arbitrary system file
https://notcve.org/view.php?id=CVE-2020-2003
An external control of filename vulnerability in the command processing of PAN-OS allows an authenticated administrator to delete arbitrary system files affecting the integrity of the system or causing denial of service to all PAN-OS services. This issue affects: All versions of PAN-OS 7.1 and 8.0; PAN-OS 8.1 versions before 8.1.14; PAN-OS 9.0 versions before 9.0.7; PAN-OS 9.1 versions before 9.1.1. Un control externo de la vulnerabilidad de nombre de archivo en el procesamiento de comandos de PAN-OS permite a un administrador autenticado eliminar archivos arbitrarios del sistema que afectan la integridad del sistema o causan la denegación de servicio a todos los servicios de PAN-OS. Este problema afecta a: Todas las versiones de PAN-OS 7.1 y 8.0; PAN-OS 8.1 versiones anteriores a la versión 8.1.14; PAN-OS 9.0 versiones anteriores a la versión 9.0.7; PAN-OS 9.1 versiones anteriores a la versión 9.1.1. • https://security.paloaltonetworks.com/CVE-2020-2003 • CWE-73: External Control of File Name or Path •
CVSS: 8.1EPSS: 0%CPEs: 4EXPL: 0CVE-2020-2002 – PAN-OS: Spoofed Kerberos key distribution center authentication bypass
https://notcve.org/view.php?id=CVE-2020-2002
An authentication bypass by spoofing vulnerability exists in the authentication daemon and User-ID components of Palo Alto Networks PAN-OS by failing to verify the integrity of the Kerberos key distribution center (KDC) before authenticating users. This affects all forms of authentication that use a Kerberos authentication profile. A man-in-the-middle type of attacker with the ability to intercept communication between PAN-OS and KDC can login to PAN-OS as an administrator. This issue affects: PAN-OS 7.1 versions earlier than 7.1.26; PAN-OS 8.1 versions earlier than 8.1.13; PAN-OS 9.0 versions earlier than 9.0.6; All version of PAN-OS 8.0. Existe una vulnerabilidad de omisión de autenticación mediante suplantación de identidad en el daemon de autenticación y los componentes de ID de usuario de PAN-OS de Palo Alto Networks al no verificar la integridad del centro de distribución de claves (KDC) Kerberos antes de autenticar a los usuarios. • https://security.paloaltonetworks.com/CVE-2020-2002 • CWE-290: Authentication Bypass by Spoofing •
CVSS: 9.8EPSS: 0%CPEs: 4EXPL: 0CVE-2020-2001 – PAN-OS: Panorama External control of file vulnerability leads to privilege escalation
https://notcve.org/view.php?id=CVE-2020-2001
An external control of path and data vulnerability in the Palo Alto Networks PAN-OS Panorama XSLT processing logic that allows an unauthenticated user with network access to PAN-OS management interface to write attacker supplied file on the system and elevate privileges. This issue affects: All PAN-OS 7.1 Panorama and 8.0 Panorama versions; PAN-OS 8.1 versions earlier than 8.1.12 on Panorama; PAN-OS 9.0 versions earlier than 9.0.6 on Panorama. Un control externo de la vulnerabilidad de ruta y datos en la lógica de procesamiento PAN-OS Panorama XSLT de Palo Alto Networks que permite a un usuario no autenticado con acceso a la red a la interfaz de administración PAN-OS escribir el archivo suministrado por el atacante en el sistema y elevar los privilegios. Este problema afecta a: Todas las versiones PAN-OS 7.1 Panorama y 8.0 Panorama; PAN-OS 8.1 versiones anteriores a la versión 8.1.12 en Panorama; PAN-OS 9.0 versiones anteriores a la versión 9.0.6 en Panorama. • https://security.paloaltonetworks.com/CVE-2020-2001 • CWE-123: Write-what-where Condition CWE-787: Out-of-bounds Write •
CVSS: 8.8EPSS: 0%CPEs: 5EXPL: 0CVE-2020-1998 – PAN-OS: Improper SAML SSO authorization of shared local users
https://notcve.org/view.php?id=CVE-2020-1998
An improper authorization vulnerability in PAN-OS that mistakenly uses the permissions of local linux users instead of the intended SAML permissions of the account when the username is shared for the purposes of SSO authentication. This can result in authentication bypass and unintended resource access for the user. This issue affects: PAN-OS 7.1 versions earlier than 7.1.26; PAN-OS 8.1 versions earlier than 8.1.13; PAN-OS 9.0 versions earlier than 9.0.6; PAN-OS 9.1 versions earlier than 9.1.1; All versions of PAN-OS 8.0. Una vulnerabilidad de autorización incorrecta en PAN-OS que utiliza por error los permisos de los usuarios locales de Linux en lugar de los permisos SAML previstos de la cuenta cuando el nombre de usuario se comparte con fines de autenticación SSO. Esto puede provocar la omisión de autenticación y el acceso no deseado a los recursos para el usuario. • https://security.paloaltonetworks.com/CVE-2020-1998 • CWE-285: Improper Authorization CWE-863: Incorrect Authorization •