CVE-2024-3400

Nome do Software Vulnerável e Versões Afetadas Palo Alto Networks PAN-OS versões 10.2 a 11.1

Descrição Um problema de injeção de comando existe no recurso GlobalProtect do software Palo Alto Networks PAN-OS. A falha permite que um invasor remoto não autenticado execute código arbitrário com privilégios de root no firewall através da criação de um arquivo arbitrário. Isso é alcançado por meio de uma vulnerabilidade de path traversal no valor do cookie SESSID, que permite a gravação no diretório /opt/panlogs/tmp/device telemetry/. Subsequentemente, ocorre uma injeção de comando na biblioteca pansys.py quando esta utiliza a função subprocess.Popen() para enviar dados de telemetria via cron. A vulnerabilidade é explorável quando o recurso GlobalProtect e a telemetria do dispositivo estão habilitados. Estima-se que entre 40.000 e 133.000 dispositivos em todo o mundo possam ser afetados. Foram observadas explorações reais em ataques direcionados pelo grupo UTA0218 (Operação MidnightEclipse) e pelo grupo de ransomware Black Shrantac, envolvendo a implantação de backdoors baseados em Python, coleta de credenciais e movimentação lateral em redes.

Recomendações Atualize as versões do PAN-OS 10.2, 11.0 e 11.1 para as versões corrigidas mais recentes. Como mitigação temporária, desative o recurso GlobalProtect ou a telemetria do dispositivo para evitar a exploração.