【漏洞预警】Palo Alto Networks PAN-OS命令注入漏洞（CVE-2024-3400）

漏洞预警

PAN-OS是Palo Alto Networks为其防火墙设备开发的操作系统,近日监测到PaloAltoNetworksPAN-OS中存在一个命令注入漏洞（CVE-2024-3400）,该漏洞的CVSS评分为10.0,目前该漏洞已发现被利用,Palo Alto Networks PAN-OS软件的 GlobalProtect功能中存在命令注入漏洞,该漏洞影响启用了GlobalProtect网关和设备遥测配置的PAN-OS 10.2、PAN-OS 11.0和PAN-OS 11.1 防火墙,未经身份验证的威胁者可利用该漏洞在防火墙上以root权限执行任意代码。

影响范围:
PAN-OS 11.1 < 11.1.2-h3

PAN-OS 11.0 < 11.0.4-h1

PAN-OS 10.2 < 10.2.9-h1     

注:Cloud NGFW、Panorama设备和Prisma Access不受该漏洞的影响,PAN-OS的所有其他版本也不受影响。

安全措施:
升级版本
目前Palo Alto Networks正在开发PAN-OS 10.2、PAN-OS 11.0 和 PAN-OS 11.1的修复程序（预计将于2024年4月14日发布）,受影响用户可在修复程序可用时更新到以下版本:
PAN-OS 11.1 >= 11.1.2-h3 (ETA: By 4/14)

PAN-OS 11.0 >= 11.0.4-h1 (ETA: By 4/14)

PAN-OS 10.2 >= 10.2.9-h1 (ETA: By 4/14)

下载链接:
https://support.paloaltonetworks.com/support

检测:
可以通过检查防火墙 Web 界面（Network > GlobalProtect > Gateways）中的条目来验证是否配置了GlobalProtect网关,并通过检查防火墙Web界面（Device > Setup > Telemetry)来验证是否启用了设备遥测。

临时措施:
应用基于威胁防护的缓解措施

通过暂时禁用设备遥测来减轻此漏洞的影响，有关如何暂时禁用设备遥测可参考:

https://docs.paloaltonetworks.com/pan-os/11-0/pan-os-admin/device-telemetry/device-telemetry-configure/device-telemetry-disable

原文始发于微信公众号（飓风网络安全）：【漏洞预警】Palo Alto Networks PAN-OS命令注入漏洞（CVE-2024-3400）