CVE-2020-2021 — PAN-OS : contournement de l'authentification dans l'authentification SAML

Résumé

Lorsque l'authentification Security Assertion Markup Language (SAML) est activée et que l'option « Validate Identity Provider Certificate » est désactivée (décochée), une vérification inappropriée des signatures dans l'authentification SAML de PAN-OS permet à un attaquant non authentifié sur le réseau d'accéder à des ressources protégées. L'attaquant doit disposer d'un accès réseau au serveur vulnérable pour exploiter cette vulnérabilité. Cette faille affecte les versions de PAN-OS antérieures à PAN-OS 9.1.3 pour PAN-OS 9.1 ; les versions de PAN-OS antérieures à PAN-OS 9.0.9 pour PAN-OS 9.0 ; les versions de PAN-OS antérieures à PAN-OS 8.1.15 pour PAN-OS 8.1, ainsi que toutes les versions de PAN-OS 8.0 (EOL). Cette faille n'affecte pas PAN-OS 7.1. Cette faille ne peut pas être exploitée si SAML n'est pas utilisé pour l'authentification. Cette faille ne peut pas être exploitée si l'option « Validate Identity Provider Certificate » est activée (cochée) dans le profil du serveur d'identité SAML. Les ressources pouvant être protégées par l'authentification unique (SSO) basée sur SAML sont : GlobalProtect Gateway, GlobalProtect Portal, GlobalProtect Clientless VPN, Authentication and Captive Portal, les interfaces web des pare-feu nouvelle génération PAN-OS (PA-Series, VM-Series) et Panorama, Prisma Access. Dans le cas des GlobalProtect Gateways, GlobalProtect Portal, Clientless VPN, Captive Portal et Prisma Access, un attaquant non authentifié disposant d'un accès réseau aux serveurs affectés peut accéder à des ressources protégées si cela est autorisé par les politiques d'authentification et de sécurité configurées. Il n'y a aucun impact sur l'intégrité et la disponibilité du serveur de passerelle, du portail ou du VPN. Un attaquant ne peut pas inspecter ou altérer les sessions des utilisateurs réguliers. Dans le pire des cas, il s'agit d'une vulnérabilité de gravité critique avec un score de base CVSS de 10.0 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N). Dans le cas des interfaces web de PAN-OS et Panorama, cette faille permet à un attaquant non authentifié disposant d'un accès réseau aux interfaces web de PAN-OS ou Panorama de se connecter en tant qu'administrateur et d'effectuer des actions administratives. Dans le pire des cas, il s'agit d' …

Faiblesse : CWE-347

Le titre, la description et les consignes de l’éditeur sont traduits automatiquement par intelligence artificielle (Mistral AI) depuis la fiche CVE en anglais ; un texte dont la traduction n’a pas passé les contrôles de Patcharo reste en anglais. L’avis d’un éditeur est résumé, avec un lien. Identifiants, versions et liens sont repris à l’identique.

Versions affectées et corrigées

Par produit et par branche, telles que les déclarent l’enregistrement CVE et l’avis officiel de l’éditeur. Une version corrigée n’est affichée que si un document la nomme : celui de l’éditeur, ou celui du CERT-FR pour Check Point, avec sa source.

Remédiation

Exploitation connue

Probabilité d’exploitation de 4 % dans les 30 prochains jours (percentile 91 %).

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

CERT-FR

Aucun avis ni alerte du CERT-FR des deux dernières années ne mentionne cette CVE, pour les éditeurs couverts par Patcharo.

Chronologie

1. 29 juin 2020Publication par la source
2. 25 mars 2022Ajout au catalogue CISA KEV
3. 15 avr. 2022Échéance de remédiation CISA
4. 17 juin 2026Dernière modification de la fiche source
5. 29 sept. 2026Calcul du score EPSS
6. 1 oct. 2026Dernière vérification par Patcharo

Sources officielles

• Palo Alto Networks (CVE record)relevé le 1 oct. 2026 à 09:30 UTC
• CISA Known Exploited Vulnerabilitiesrelevé le 1 oct. 2026 à 09:28 UTC
• NVDrelevé le 27 sept. 2026 à 23:44 UTC
• FIRST EPSSrelevé le 30 sept. 2026 à 00:17 UTC

Palo Alto Networks · CISA Known Exploited Vulnerabilities · NVD · FIRST EPSS