CVE-2024-3400
Palo Alto Networks PAN-OS Command Injection Vulnerability
Beschreibung
CVE-2024-3400 ist eine kritische Command-Injection-Schwachstelle in der GlobalProtect-Funktion von Palo Alto Networks PAN-OS, die es einem unauthentifizierten Angreifer ermoeglicht, beliebigen Code mit Root-Rechten auf der Firewall auszufuehren. Die Schwachstelle erhaelt den hoechstmoeglichen CVSS-Score von 10.0 (CRITICAL) und betrifft PAN-OS-Versionen 10.2, 11.0 und 11.1 mit aktivierter GlobalProtect-Funktion.
Die CISA hat CVE-2024-3400 mit einer extrem kurzen Behebungsfrist bis zum 2024-04-19 in den KEV-Katalog aufgenommen. Der EPSS-Score von 94,30 % (99,9. Perzentil) signalisiert eine nahezu sichere aktive Ausnutzung. Die Schwachstelle wird bestaetigt von Ransomware-Gruppen ausgenutzt. Cloud NGFW, Panorama-Appliances und Prisma Access sind nicht betroffen.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:HIm Rechner öffnenCWEs
Betroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| paloaltonetworks | pan-os | 10.2.0; 10.2.1; 10.2.2; 10.2.3; 10.2.4; 10.2.5; 10.2.6; 10.2.7; 10.2.8; 10.2.9; 11.0.0; 11.0.1; 11.0.2; 11.0.3; 11.0.4; 11.1.0; 11.1.1; 11.1.2 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
Referenzen
- https://security.paloaltonetworks.com/CVE-2024-3400(Vendor Advisory)
- https://unit42.paloaltonetworks.com/cve-2024-3400/(Exploit, Vendor Advisory)
- https://www.paloaltonetworks.com/blog/2024/04/more-on-the-pan-os-cve/(Technical Description, Vendor Advisory)
- https://www.volexity.com/blog/2024/04/12/zero-day-exploitation-of-unauthenticated-remote-code-execution-vulnerability-in-globalprotect-cve-2024-3400/(Exploit, Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2024-3400(US Government Resource)
Schwachstellentyp
Command Injection durch Arbitrary File Creation
CVE-2024-3400 basiert auf einer Command-Injection-Schwachstelle, die durch unkontrollierte Dateierstellung in der GlobalProtect-Komponente von PAN-OS ermoeglicht wird. Ein Angreifer kann durch speziell praeparierte Anfragen beliebige Dateien auf dem System erstellen, was letztlich zur Ausfuehrung von Systembefehlen mit Root-Rechten fuehrt. Diese Schwachstellenklasse faellt in den Bereich von CWE-78 (OS Command Injection), bei der Benutzereingaben ungenuegend validiert in Systembefehle eingebettet werden.
Die Kombination aus unkontrollierter Dateierstellung und anschliessender Command Injection macht diese Schwachstelle besonders gefaehrlich, da sie ohne jegliche Authentifizierung aus dem Netzwerk ausgenutzt werden kann und sofort Root-Rechte auf der Firewall ermoeglicht.
Weitere Informationen: CWE-78 -- OS Command Injection
Auswirkungsanalyse
Die Auswirkungen von CVE-2024-3400 sind verheerend, da die Schwachstelle die vollstaendige Kompromittierung einer Palo Alto Networks Firewall ermoeglicht. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H beschreibt die maximale Bedrohungsstufe mit Scope-Aenderung. Vertraulichkeit (Hoch): Root-Zugang ermoeglicht das Auslesen aller Firewall-Konfigurationen, VPN-Zugangsdaten, Zertifikate und des gesamten Netzwerkverkehrs. Integritaet (Hoch): Der Angreifer kann beliebige Firewall-Regeln manipulieren, Backdoors installieren, Sicherheitsrichtlinien deaktivieren und den Netzwerkverkehr umleiten. Verfuegbarkeit (Hoch): Die Firewall kann vollstaendig deaktiviert oder zerstoert werden. Der Scope-Change (S:C) bedeutet, dass nicht nur die Firewall selbst, sondern auch die dahinterliegenden geschuetzten Netzwerke kompromittiert werden koennen.
Der EPSS-Score von 94,30 % (99,9. Perzentil) und die bestaetigt aktive Nutzung durch Ransomware-Gruppen machen CVE-2024-3400 zu einer der gefaehrlichsten Schwachstellen des Jahres 2024. Volexity dokumentierte die Zero-Day-Ausnutzung bereits ab dem 26. Maerz 2024, bevor ein Patch verfuegbar war.
Exploit-Reifegrad
CVE-2024-3400 weist die hoechstmoegliche Exploit-Reife auf. Die CISA hat die aktive Ausnutzung bestaetigt und die Schwachstelle mit einer extrem kurzen Behebungsfrist bis zum 2024-04-19 in den KEV-Katalog aufgenommen. Der EPSS-Score betraegt 94,30 % (99,9. Perzentil). Die Schwachstelle wird bestaetigt in Ransomware-Angriffen ausgenutzt. Volexity veroeffentlichte eine detaillierte Analyse der Zero-Day-Ausnutzung, die bereits ab dem 26. Maerz 2024 beobachtet wurde. Die Unit 42-Analyse von Palo Alto Networks dokumentiert die Angriffskampagne unter dem Namen Operation MidnightEclipse im Detail. Das Palo Alto Networks Security Advisory stuft die Schwachstelle mit der hoechsten Dringlichkeit ein. Mehrere funktionsfaehige Exploits sind oeffentlich verfuegbar, und die Schwachstelle wird aktiv durch automatisierte Scanning-Tools weltweit ausgenutzt.
Behebung
-
PAN-OS umgehend aktualisieren: Installieren Sie sofort die von Palo Alto Networks bereitgestellten Hotfixes. Konsultieren Sie das Security Advisory fuer CVE-2024-3400 fuer die exakten gepatchten Versionen fuer PAN-OS 10.2, 11.0 und 11.1. Diese Aktualisierung hat hoechste Prioritaet.
-
Threat Prevention Signature aktivieren: Wenn ein sofortiges Update nicht moeglich ist, aktivieren Sie als Sofortmassnahme die Threat Prevention Signature mit der ID 95187 in Palo Alto Networks Threat Prevention, um bekannte Exploit-Versuche zu blockieren. Stellen Sie sicher, dass die Signatur auf das GlobalProtect-Interface angewendet wird.
-
GlobalProtect Device Telemetry deaktivieren: Als zusaetzliche Sofortmassnahme kann die Device-Telemetrie-Funktion deaktiviert werden, bis der Patch eingespielt ist. Beachten Sie jedoch, dass dies nur einen Teil der Angriffsvektoren mitigiert und kein vollstaendiger Workaround ist.
-
Forensische Untersuchung durchfuehren: Ueberpruefen Sie Ihre Firewalls auf Anzeichen einer Kompromittierung. Suchen Sie nach ungewoehnlichen Dateien in temporaeren Verzeichnissen, verdaechtigen Cronjobs und unerwarteten ausgehenden Verbindungen. Die Volexity- und Unit 42-Analysen enthalten detaillierte Indicators of Compromise (IoCs).
-
Netzwerkverkehr analysieren und Zugangsdaten rotieren: Untersuchen Sie den Netzwerkverkehr auf verdaechtige Muster und rotieren Sie alle auf der Firewall gespeicherten Zugangsdaten. Wenn eine Kompromittierung vermutet wird, muessen saemtliche VPN-Zugangsdaten, Zertifikate und API-Keys neu ausgestellt werden.
Technische Details
CVE-2024-3400 betrifft die GlobalProtect-Funktion in Palo Alto Networks PAN-OS in den Versionen 10.2.0 bis 10.2.9, 11.0.0 bis 11.0.4 und 11.1.0 bis 11.1.2. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H beschreibt die hoechstmoegliche Bedrohungsstufe. Angriffsvektor (Netzwerk): Die Schwachstelle ist ueber das Netzwerk erreichbar, spezifisch ueber das GlobalProtect-Gateway oder -Portal. Angriffskomplexitaet (Niedrig): Der Exploit erfordert keine besonderen Bedingungen. Berechtigungen (Keine): Keinerlei Authentifizierung erforderlich. Benutzerinteraktion (Keine): Der Angriff laeuft vollstaendig automatisiert ab. Scope (Changed): Die Kompromittierung der Firewall ermoeglicht Angriffe auf dahinterliegende Systeme.
Der Angriffsmechanismus nutzt eine Schwachstelle in der Verarbeitung von Session-IDs in der GlobalProtect-Komponente aus. Durch eine speziell praeparierte SESSID, die Pfad-Traversal-Elemente und Shell-Befehle enthaelt, kann ein Angreifer zunaechst beliebige Dateien auf dem System erstellen. Diese Dateierstellung wird anschliessend genutzt, um ueber einen Cron-Job oder die Verarbeitung der erstellten Dateien beliebige Systembefehle mit Root-Rechten auszufuehren. Der gesamte Angriff erfolgt ueber eine einzige HTTP-Anfrage an das GlobalProtect-Interface.
Häufig gestellte Fragen
Wird CVE-2024-3400 fuer Ransomware-Angriffe genutzt?
Ja, die CISA fuehrt den Ransomware-Status explizit als "Known" im KEV-Katalog. Die Schwachstelle wird aktiv von Ransomware-Gruppen ausgenutzt, die ueber kompromittierte Firewalls in Unternehmensnetzwerke eindringen und dort Verschluesselungs-Malware verteilen.
Sind Cloud NGFW und Prisma Access ebenfalls betroffen?
Nein, Cloud NGFW, Panorama-Appliances und Prisma Access sind von CVE-2024-3400 nicht betroffen. Die Schwachstelle existiert ausschliesslich in der GlobalProtect-Funktion von PAN-OS auf physischen und virtuellen Firewall-Appliances mit den betroffenen Versionen.
Was bedeutet der CVSS-Score von 10.0?
Ein CVSS-Score von 10.0 ist der hoechstmoegliche Wert und zeigt an, dass die Schwachstelle maximal kritisch ist. Im Fall von CVE-2024-3400 bedeutet dies: keine Authentifizierung erforderlich, keine Benutzerinteraktion noetig, niedrige Angriffskomplexitaet und vollstaendige Kompromittierung von Vertraulichkeit, Integritaet und Verfuegbarkeit mit Scope-Change auf dahinterliegende Systeme.
Wie erkenne ich, ob meine Firewall bereits kompromittiert wurde?
Pruefen Sie auf ungewoehnliche Dateien in temporaeren Verzeichnissen, verdaechtige Cronjobs, unerwartete ausgehende Netzwerkverbindungen und unbekannte Konfigurationsaenderungen. Die detaillierten IoCs von Volexity und Palo Alto Networks Unit 42 sollten als Grundlage fuer die forensische Untersuchung verwendet werden.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.