CVE-2020-2021
10, kritisch Nachweislich ausgenutzt Von Ransomware genutztPalo Alto Networks PAN-OS Authentication Bypass Vulnerability
- CVSS
- 10, kritisch kritisch CVSS v3.1
- EPSS, nächste 30 Tage
- 4% höher als 91.1% der bewerteten CVEs
- Ausnutzung
- Ausnutzung bestätigt
- Veröffentlicht
- 29. Juni 2020vor 6 Jahren
Nachweislich ausgenutzt
Die CISA hat diese Schwachstelle am 25. März 2022 in den Katalog Known Exploited Vulnerabilities aufgenommen und bringt sie mit Ransomware-Aktivitäten in Verbindung. US-Bundesbehörden mussten sie bis zum 15. Apr. 2022 beheben; diese Frist ist abgelaufen.
Erforderliche Massnahme. Apply updates per vendor instructions.
Beschreibung
When Security Assertion Markup Language (SAML) authentication is enabled and the 'Validate Identity Provider Certificate' option is disabled (unchecked), improper verification of signatures in PAN-OS SAML authentication enables an unauthenticated network-based attacker to access protected resources. The attacker must have network access to the vulnerable server to exploit this vulnerability. This issue affects PAN-OS 9.1 versions earlier than PAN-OS 9.1.3; PAN-OS 9.0 versions earlier than PAN-OS 9.0.9; PAN-OS 8.1 versions earlier than PAN-OS 8.1.15, and all versions of PAN-OS 8.0 (EOL). This issue does not affect PAN-OS 7.1. This issue cannot be exploited if SAML is not used for authentication. This issue cannot be exploited if the 'Validate Identity Provider Certificate' option is enabled (checked) in the SAML Identity Provider Server Profile. Resources that can be protected by SAML-based single sign-on (SSO) authentication are: GlobalProtect Gateway, GlobalProtect Portal, GlobalProtect Clientless VPN, Authentication and Captive Portal, PAN-OS next-generation firewalls (PA-Series, VM-Series) and Panorama web interfaces, Prisma Access In the case of GlobalProtect Gateways, GlobalProtect Portal, Clientless VPN, Captive Portal, and Prisma Access, an unauthenticated attacker with network access to the affected servers can gain access to protected resources if allowed by configured authentication and Security policies. There is no impact on the integrity and availability of the gateway, portal or VPN server. An attacker cannot inspect or tamper with sessions of regular users. In the worst case, this is a critical severity vulnerability with a CVSS Base Score of 10.0 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N). In the case of PAN-OS and Panorama web interfaces, this issue allows an unauthenticated attacker with network access to the PAN-OS or Panorama web interfaces to log in as an administrator and perform administrative actions. In the worst-case scenario, this is a critical severity vulnerability with a CVSS Base Score of 10.0 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H). If the web interfaces are only accessible to a restricted management network, then the issue is lowered to a CVSS Base Score of 9.6 (CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H). Palo Alto Networks is not aware of any malicious attempts to exploit this vulnerability.
Details
- Hersteller
- Palo Alto Networks
- Produkt
- PAN-OS
- Schwachstellentyp
- CWE-347 (öffnet in einem neuen Tab)
- Status
- Analysiert
- Aktualisiert
- 17. Juni 2026
- Zugewiesen von
- psirt@paloaltonetworks.com
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
Referenzen 2
Die Art der Referenz wird aus den NVD-Tags abgeleitet, wo vorhanden, sonst aus der Form der URL. Betrachten Sie sie als Hinweis.
Weitere CVEs von Palo Alto Networks
Alle CVEs von Palo Alto Networks in unserem BestandDerselbe Hersteller in unserem Bestand, kein bekannter Zusammenhang zwischen den Schwachstellen.
- CVE-2026-0322 Palo Alto Networks PAN-OS Code Injection Vulnerability KEV EPSS 1% 7.2, hoch
- CVE-2026-0257 Palo Alto Networks PAN-OS Authentication Bypass Vulnerability KEV EPSS 97% 9.1, kritisch
- CVE-2026-0300 Palo Alto Networks PAN-OS Out-of-bounds Write Vulnerability KEV EPSS 32% 9.8, kritisch
- CVE-2025-0108 Palo Alto Networks PAN-OS Authentication Bypass Vulnerability KEV EPSS 98% 9.1, kritisch
- CVE-2025-0111 Palo Alto Networks PAN-OS File Read Vulnerability KEV EPSS 2% 6.5, mittel
- CVE-2024-3393 Palo Alto Networks PAN-OS Malicious DNS Packet Vulnerability KEV EPSS 29% 7.5, hoch
- CVE-2024-0012 Palo Alto Networks PAN-OS Management Interface Authentication Bypass Vulnerability KEV EPSS 100% 9.8, kritisch
- CVE-2024-9474 Palo Alto Networks PAN-OS Management Interface OS Command Injection Vulnerability KEV EPSS 95% 7.2, hoch
Über diese Seite hinaus
Ist CVE-2020-2021 in Ihrem Netzwerk?
Diese Seite zeigt, wie gefährlich CVE-2020-2021 allgemein ist. Ob sie auf einem Ihrer Geräte steckt, kann nur ein Scan Ihres eigenen Netzwerks sagen. Genau das tun unsere Systeme jeden Tag für die Unternehmen, die wir schützen.
CVE-2020-2021 steht im CISA-Katalog der ausgenutzten Schwachstellen: Angreifer nutzen sie bereits.
-
EXYS7600 OCELOT
Finden, bevor Angreifer sie finden
Ocelot scannt Ihr Netzwerk nach Zeitplan und meldet jede gefundene Schwachstelle mit ihrer CVE-Kennung, ihrem CVSS-Wert und der Zahl Ihrer betroffenen Hosts. Ein Befund wie CVE-2020-2021 kommt mit den Geräten, die zu patchen sind.
EXYS7600 OCELOT entdecken -
EXYS7950 KONDRA
Erkennen, wenn sie ausgenutzt wird
Bis der Patch eingespielt ist, überwacht Kondra Netzwerk, Ereignisse und Endpoints in Echtzeit. Es führt ein Inventar der auf jedem Endpoint installierten Software, und seine Regeln zur Anomalieerkennung melden, was ein Angreifer im Netz tut.
EXYS7950 KONDRA entdecken
Zusammengestellt aus der NVD-2.0-API, dem CISA-Katalog Known Exploited Vulnerabilities und FIRST EPSS. Die Bewertungen entsprechen unserer letzten Erfassung am 17. Okt. 2026, nicht dem aktuellen Stand der Quellen.