Ne 12 Prill 2024, Palo Alto Networks publikoi PAN-SA-2024-0003 per dobesine CVE-2024-3400, nje command injection kritike ne komponentin GlobalProtect te PAN-OS. CVSS score: 10.0 (Critical).
Permbledhje
- CVE: CVE-2024-3400
- Pajisjet e prekura: PAN-OS 10.2, 11.0, 11.1 me GlobalProtect gateway ose portal + device telemetry
- Impact: Unauthenticated remote code execution si root
- Exploitation ne pushtim: Po — zbuluar nga Volexity ne nje klient te kompromituar
- Attribution: UTA0218 (suspected nation-state)
Detajet teknike
Dobesia ekziston ne menyren si PAN-OS trajton nje parameter specifik ne cookie-n e sesionit. Sulmuesi mund te injektoje komanda shell ne menyre te padijshme sepse vlera e cookie-s perdoret ne nje command template pa sanitizim adekuat.
GET /ssl-vpn/hipreport.esp HTTP/1.1
Host: target.example.com
Cookie: SESSID=../../../../opt/pancfg/mgmt/factory/; $(command)
Pasi komanda ekzekutohet, sulmuesi mund te krijoje nje file ne nje direktori te shkruajtshme dhe pastaj te kembehen me nje proces tjeter qe e lexon at file si shell-in.
Timeline
- 26 Mars 2024: Volexity zbulon sulmin fillestar nga UTA0218
- 10 Prill 2024: Palo Alto informohet privatisht
- 12 Prill 2024: Publikohet advisory dhe patch i parte
- 14 Prill 2024: CVE-2024-3400 shtohet ne CISA KEV Catalog
- 19 Prill 2024: Exploit publikohet publikisht
Mitigimi
- Update ne versionin e patched: PAN-OS 10.2.9-h1+, 11.0.4-h1+, 11.1.2-h3+
- Zgjidhje e perkohshme: Disable device telemetry (kishte kufizime)
- Per shfrytezim te suksesshem: Treat as fully compromised — assume persistence. Reinstall firmware, rotate credentials, review logs.
Mesime qe mund te nxjerrim
- Edhe firewalls enterprise mund te kene dobesi kritike
- Nje komponent "opsional" (telemetry) mund te behej pika kritike e sulmit
- Vendosja ne CISA KEV zakonisht ndjek shfrytezim te gjere — pa pritur patching me muaj
- Ndjenja e rreme e sigurise "ne kemi firewall" nuk eshte e mjaftueshme
Kjo dobesi eshte shembull i mire pse zero-trust arkitektura eshte e rendesishme — nuk mund te varemi vetem ne perimetrin e rrjetit per siguri.