EXCLUSIF: Un bug dans le tableau de bord de support de Palo Alto Networks (PAN) a exposé des milliers de tickets de support client à une personne non autorisée, a appris EZpublish-france.fr.
Les informations exposées comprenaient les noms et les coordonnées (professionnelles) de la personne créant les tickets d’assistance, les conversations entre les membres du personnel de Palo Alto Networks et le client.
Les preuves partagées avec EZpublish-france.fr indiquent que certains tickets d’assistance contenaient des pièces jointes, telles que des journaux de pare-feu, des vidages de configuration et d’autres actifs de débogage partagés avec le personnel PAN par les clients.
Palo Alto Networks, l’un des principaux fournisseurs de produits de cybersécurité et de mise en réseau et de pare-feu, a déclaré à EZpublish-france.fr qu’ils avaient maintenant résolu le problème, environ huit jours après qu’il ait été signalé.
Comment puis-je vous aider aujourd’hui?
Une mauvaise configuration du système d’assistance de Palo Alto Networks a permis la divulgation d’informations sensibles, permettant à un client d’accéder à des tickets d’assistance privés d’autres sociétés.
Un client PAN qui préfère rester anonyme a découvert le problème ce mois-ci et l’a signalé au personnel de Palo Alto Networks, qui a maintenant résolu le problème.
Le client a en outre déclaré à EZpublish-france.fr qu’il pouvait voir environ 1 989 cas de support qui ne lui appartenaient pas, ni à son organisation, et des captures d’écran partagées attestant du fait :
Certains de ces cas de support comportaient des pièces jointes telles que des journaux de pare-feu, des vidages de configuration, des dispositions de groupe de sécurité réseau (NSG), des images de messages d’erreur et des fichiers internes similaires partagés par les clients avec Palo Alto Networks à des fins de dépannage.
La capture d’écran montre une icône « télécharger » à côté de chaque fichier. Notez que le client qui nous a informés n’a partagé aucun des fichiers avec EZpublish-france.fr et affirme ne pas avoir téléchargé les fichiers non plus.
Certaines autres informations exposées dans les tickets de support inclus :
- Nom du contact, fonction, adresse e-mail et numéro de téléphone du client créant les tickets
- Contenu des conversations entre le personnel d’assistance de PAN et les clients
- PAN Numéro de série et modèle du produit
- Numéros de cas, ligne d’objet et gravité de la demande (critique, élevée, moyenne, faible)
« Les premiers problèmes ont commencé lorsque je me suis inscrit pour un compte d’assistance Palo Alto le 10 mars », a déclaré le client anonyme à EZpublish-france.fr.
« Après la connexion, mon navigateur restait bloqué dans une boucle de redirection lorsque j’essayais d’accéder à la base de connaissances de Palo Alto, mais plus important encore, il renvoyait 403 autorisations insuffisantes lors de la tentative de connexion à Palo Alto Hub, à partir duquel Cloud Identity Engine pouvait être installé. «
Le client a soulevé ce problème avec le support PAN et a été informé que son accès au hub de Palo Alto était « réparé ».
« Cependant, à ma grande surprise, lorsque je me suis connecté au portail d’assistance, j’ai pu voir non seulement les demandes d’assistance que j’ai soulevées, mais également environ 1 990 demandes d’assistance sous l’onglet ‘My Company’s Cases' », explique encore l’utilisateur.
Palo Alto Networks : « aucune donnée n’a été téléchargée ou modifiée »
En réalisant l’erreur d’accès, le client dit à EZpublish-france.fr qu’il a rapidement informé Palo Alto Networks, à la fois en soulevant une « demande d’assistance critique » et en contactant certains membres PAN sur LinkedIn.
EZpublish-france.fr a contacté PAN pour mieux comprendre la portée et l’impact de cette fuite de données.
PAN indique qu’aucune donnée n’a été téléchargée et implique que l’étendue de la fuite est restée limitée à un seul client :
« Nous avons été informés d’un problème qui permettait à un client autorisé de visualiser un petit sous-ensemble de cas de support, qu’il ne serait généralement pas en mesure de visualiser », a déclaré un porte-parole de Palo Alto Networks à EZpublish-france.fr.
« Nous avons immédiatement lancé une enquête et identifié qu’elle était due à une erreur de mauvaise configuration des autorisations dans un système d’assistance. »
« Notre analyse a confirmé qu’aucune donnée n’avait été téléchargée ou modifiée, et le problème a été immédiatement résolu. »
Notez cependant que la correction du bug a pris environ huit jours, après quoi l’accès du client susmentionné aux 1 900 tickets non liés a été révoqué.
PAN n’a pas répondu s’il avait informé les clients dont les informations étaient affectées par le bug de fuite de données, ou s’ils prévoyaient de le faire.
À l’heure actuelle, Palo Alto Networks déclare qu’aucune action client n’est requise et qu’elle est convaincue que ses produits et services sont sécurisés.