Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidad en la funcionalidad GlobalProtect Portal en el ID de sesión de usuario en PAN-OS (CVE-2020-1993)

Gravedad CVSS v3.1:
MEDIA
Tipo:
No Disponible / Otro tipo
Fecha de publicación:
13/05/2020
Última modificación:
15/05/2020

Descripción

La funcionalidad GlobalProtect Portal en PAN-OS, no establece un nuevo identificador de sesión después de un inicio de sesión de usuario con éxito, que permite ataques de fijación de sesión, si un atacante es capaz de controlar el ID de sesión de un usuario. Este problema afecta: Todas las versiones de PAN-OS 7.1 y 8.0; PAN-OS versiones 8.1 anteriores a 8.1.14; PAN-OS versiones 9.0 anteriores a 9.0.8.

Productos y versiones vulnerables

CPE Desde Hasta
cpe:2.3:o:paloaltonetworks:pan-os:*:*:*:*:*:*:*:* 7.1.0 (incluyendo) 7.1.26 (incluyendo)
cpe:2.3:o:paloaltonetworks:pan-os:*:*:*:*:*:*:*:* 8.0.0 (incluyendo) 8.0.20 (incluyendo)
cpe:2.3:o:paloaltonetworks:pan-os:*:*:*:*:*:*:*:* 8.1.0 (incluyendo) 8.1.13 (incluyendo)
cpe:2.3:o:paloaltonetworks:pan-os:*:*:*:*:*:*:*:* 9.0.0 (incluyendo) 9.0.7 (incluyendo)


Referencias a soluciones, herramientas e información