CVE-2024-3400

Nome do Software Vulnerável e Versões Afetadas Palo Alto Networks PAN-OS versões 10.2 a 11.1

Descrição Um problema de injeção de comando existe no recurso GlobalProtect do software Palo Alto Networks PAN-OS, ocorrendo como resultado da criação arbitrária de arquivos. Esta falha permite que um invasor remoto não autenticado execute código arbitrário com privilégios de root no firewall. A cadeia de exploração envolve uma vulnerabilidade de path traversal através do cookie SESSID, permitindo que o invasor escreva arquivos no diretório /opt/panlogs/tmp/device telemetry/. Subsequentemente, ocorre uma injeção de comando na biblioteca pansys.py, que utiliza a função subprocess.Popen() para executar comandos curl para o envio de telemetria via cron. Os invasores podem usar a variável ${IFS} (Internal Field Separator) para contornar restrições de espaço nos comandos. A exploração no mundo real foi observada em ataques APT direcionados conhecidos como Operation MidnightEclipse (ou UTA0218), onde invasores implantaram um backdoor baseado em Python chamado UPSTYLE, roubaram dados de configuração e realizaram movimentação lateral usando SMB e WinRM. Estima-se que entre 40.000 e 133.000 dispositivos em todo o mundo possam estar potencialmente afetados. Cloud NGFW, aparelhos Panorama e Prisma Access não são impactados.

Recomendações Atualize as versões do PAN-OS 10.2, 11.0 e 11.1 para as versões corrigidas mais recentes. Como mitigação temporária, desative o recurso GlobalProtect ou a telemetria do dispositivo, caso não sejam necessários.