PAN-OS: Reflected Amplification Denial-of-Service (DoS) Vulnerability in URL Filtering

Um firewall PAN-OS mal configurado pode ser abusado como refletor/amplificador em ataques de negação de serviço (DoS) via TCP contra terceiros, usando URL filtering como vetor. A falha não compromete confidencialidade, integridade ou disponibilidade do próprio PAN-OS — o risco é o firewall aparecer como origem do ataque, o que pode implicar o dono do equipamento e mascarar o atacante real. O CVSS 8.6 reflete o impacto de disponibilidade no alvo final, não no firewall.

A causa raiz é CWE-406 (Insufficient Control of Network Message Volume / Network Amplification), segundo classificação do próprio fornecedor. O problema aparece quando uma regra de segurança que permite tráfego de uma Zone A para uma Zone B tem um perfil de URL Filtering com uma ou mais categorias bloqueadas, e essa Zone A tem uma interface voltada para a internet. Nessa configuração, o firewall responde a requisições que batem em categorias bloqueadas — resposta essa que pode ser maior que o pacote de entrada, gerando amplificação.

O abuso depende de duas proteções de Zone Protection estarem desabilitadas simultaneamente: (1) packet-based attack protection contra TCP SYN com dados e strip de TCP Fast Open, e (2) flood protection via SYN cookie com threshold de ativação zero. Sem essas proteções, o firewall processa pacotes TCP que não completam corretamente o three-way handshake (SYN com dados, ou variantes de TCP Fast Open), o que abre a porta para que um atacante forje o IP de origem como sendo o do alvo (spoofing) e receba do firewall uma resposta direcionada a esse IP forjado, sem nunca ter completado o handshake real.

O CISA KEV catalogou o CWE relacionado como CWE-940 (Improper Verification of Source of a Communication Channel), o que é consistente com o mecanismo: a falta de verificação robusta da origem do fluxo TCP antes de gerar a resposta de bloqueio é o que permite o spoofing funcionar como vetor de reflexão.

É crucial notar que essa é uma configuração atípica: administradores normalmente aplicam URL Filtering em zonas internas (para filtrar navegação de usuários), não em zonas com interface externa recebendo tráfego de entrada. O próprio fornecedor afirma que, se essa configuração existir, é provável que seja não intencional.

O vetor exige acesso de rede ao firewall vulnerável (AV:N) e nenhuma autenticação, mas depende inteiramente de uma configuração específica e pouco comum: URL filtering com categorias bloqueadas aplicado a uma regra de segurança cuja zona de origem tem interface externa. Sem essa configuração, o firewall simplesmente não é abusável dessa forma — a manchete de CVSS alto não se aplica à maioria dos ambientes PAN-OS, que aplicam URL Filtering em zonas internas de navegação de usuários.

Quando a configuração existe e as proteções de Zone Protection (packet-based attack protection ou SYN cookie flood protection) não estão ativas, um atacante externo forja pacotes TCP com IP de origem falsificado como o do alvo real e os envia ao firewall visando um recurso que dispara o bloqueio de URL filtering. O firewall responde ao IP forjado, e não ao atacante — amplificando e refletindo tráfego contra o alvo, que passa a receber o DoS como se viesse do firewall Palo Alto Networks.

O fornecedor confirma exploração no mundo real: um provedor de serviços identificou uma tentativa de ataque RDoS que abusava de firewalls vulneráveis de múltiplos fornecedores, incluindo Palo Alto Networks — motivo pelo qual a CVE está no catálogo KEV da CISA (adicionada em 2022-08-22, com prazo de correção definido para 2022-09-12 para agências federais dos EUA). Não há indicação de que a exploração afete a confidencialidade, integridade ou disponibilidade do próprio firewall — o dano é sempre no terceiro escolhido como alvo.

A correção definitiva é atualizar para as versões corrigidas de PAN-OS (listadas por branch). Cloud NGFW e Prisma Access já foram remediados pelo fornecedor sem necessidade de ação do cliente, e Panorama M-Series/virtual não são afetados.

Se a atualização não for imediata, existem dois paliativos reais e mutuamente exclusivos, aplicáveis a qualquer Security zone que tenha uma Security policy com perfil de URL Filtering: (1) habilitar Packet-Based Attack Protection cobrindo TCP SYN with Data e Strip TCP Options > TCP Fast Open — recomendado pelo fornecedor, mas pode interromper aplicações que dependem de TCP Fast Open na zona; ou (2) habilitar Flood Protection via SYN Cookie com threshold de ativação zero. O fornecedor recomenda usar apenas uma das duas, não ambas. Uma mitigação mais simples e específica é remover a configuração atípica: tirar o perfil de URL Filtering com categorias bloqueadas de regras cuja zona de origem tem interface externa — isso elimina a exposição ao abuso externo sem tocar em Zone Protection.

Uma exceção documentada: ambientes rodando o software Aporeto da Palo Alto Networks não devem habilitar nenhuma das duas proteções de Zone Protection — devem aguardar e instalar a versão corrigida de PAN-OS. Não há mito relevante circulando sobre essa CVE, mas vale reforçar: aplicar apenas WAF ou controles de borda genéricos não resolve, porque o problema está na combinação específica de URL Filtering + zona externa + ausência de proteção TCP no próprio PAN-OS.

O sinal mais direto não está no próprio firewall Palo Alto Networks, mas no destino do ataque: tráfego TCP de resposta em volume anômalo originado do IP do firewall, direcionado a um alvo que não iniciou a conexão — característica clássica de reflected DoS. Do lado do firewall vulnerável, procurar por picos de sessões TCP com SYN contendo dados ou uso de TCP Fast Open em zonas com URL Filtering aplicado a interfaces externas, especialmente se Zone Protection (packet-based attack protection ou SYN cookie) estiver desabilitado nessas zonas — ausência dessas proteções é o principal indicador de exposição, não de exploração já ocorrida. Não há assinatura de exploração publicamente confirmada pelo fornecedor; a detecção prática depende de monitorar tráfego de saída anômalo e revisar a configuração de URL Filtering contra o padrão de exposição descrito.