CVE-2024-5910
Palo Alto Networks Expedition Missing Authentication Vulnerability
Beschreibung
CVE-2024-5910 ist eine kritische Schwachstelle in Palo Alto Networks Expedition, die durch fehlende Authentifizierung fuer eine kritische Funktion eine vollstaendige Uebernahme des Expedition-Administratorkontos ermoeglicht. Mit einem CVSS v3.1-Score von 9.8 (CRITICAL) koennen Angreifer mit Netzwerkzugriff auf Expedition ohne jegliche Authentifizierung oder Benutzerinteraktion die Kontrolle uebernehmen. Betroffen sind Expedition-Versionen ab 1.2.0 bis vor 1.2.92.
Die CISA hat CVE-2024-5910 in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 28. November 2024. Der EPSS-Score von 91.03 % (99.6. Perzentil) belegt eine ausserordentlich hohe Ausnutzungswahrscheinlichkeit. Expedition ist ein Tool zur Konfigurationsmigration und -optimierung, das haeufig sensible Konfigurationsdaten, Zugangsdaten und Zertifikate enthaelt, was die Kompromittierung besonders folgenreich macht.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| paloaltonetworks | expedition | >= 1.2.0, < 1.2.92 |
Referenzen
- https://security.paloaltonetworks.com/CVE-2024-5910(Vendor Advisory)
- https://www.horizon3.ai/attack-research/palo-alto-expedition-from-n-day-to-full-compromise(Exploit, Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2024-5910(US Government Resource)
Schwachstellentyp
CWE-306: Fehlende Authentifizierung fuer kritische Funktion
CVE-2024-5910 basiert auf CWE-306, einer Schwachstellenklasse, bei der eine Anwendung fuer sicherheitskritische Funktionen keine Authentifizierung erfordert. Im Fall von Palo Alto Networks Expedition fehlt die Authentifizierungspruefung fuer eine administrative Funktion, die den Zugriff auf das Administratorkonto und damit auf alle in Expedition gespeicherten Konfigurationsdaten ermoeglicht. Der Angreifer benoetigt lediglich Netzwerkzugriff auf das Expedition-System.
Mehr erfahren: CWE-306 -- Fehlende Authentifizierung fuer kritische Funktion
Auswirkungsanalyse
Die Auswirkungen von CVE-2024-5910 sind aufgrund der Rolle von Expedition als Konfigurationsmanagement-Tool besonders gravierend. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H zeigt, dass der Angriff ueber das Netzwerk ohne jegliche Voraussetzungen durchfuehrbar ist. Vertraulichkeit (Hoch): Ein erfolgreicher Angriff legt alle in Expedition gespeicherten Daten offen, darunter Firewall-Konfigurationen, VPN-Zugangsdaten, Zertifikate, API-Schluessel und andere Secrets. Da Expedition zur Migration und Optimierung von Palo Alto Networks-Firewalls verwendet wird, enthaelt es haeufig die vollstaendigen Konfigurationen der Sicherheitsinfrastruktur eines Unternehmens. Integritaet (Hoch): Der Angreifer kann als Administrator Konfigurationen manipulieren, die anschliessend auf Produktionsfirewalls angewendet werden koennten, was die gesamte Netzwerksicherheit untergraebt. Verfuegbarkeit (Hoch): Die vollstaendige Kontrolle ueber das Administratorkonto ermoeglicht das Loeschen oder Verschluesseln aller Expedition-Daten. Der EPSS-Score von 91.03 % unterstreicht die extreme Ausnutzungswahrscheinlichkeit in der Praxis.
Exploit-Reifegrad
CVE-2024-5910 weist eine sehr hohe Exploit-Reife auf. Die CISA hat die aktive Ausnutzung bestaetigt und die Schwachstelle in den KEV-Katalog aufgenommen. Eine detaillierte technische Analyse mit Exploit-Beschreibung wurde von Horizon3.ai veroeffentlicht, die den Weg von der Schwachstelle zur vollstaendigen Kompromittierung demonstriert. Der EPSS-Score von 91.03 % (99.6. Perzentil) platziert diese Schwachstelle unter den Top 0.4 % der am intensivsten ausgenutzten Schwachstellen. Der Ransomware-Status ist als Unknown klassifiziert. Die Kombination aus fehlender Authentifizierung und der Verfuegbarkeit detaillierter Exploit-Anleitungen macht die Schwachstelle auch fuer weniger versierte Angreifer leicht ausnutzbar.
Behebung
-
Expedition auf Version 1.2.92 oder hoeher aktualisieren: Installieren Sie umgehend das Update von Palo Alto Networks, das die fehlende Authentifizierung behebt. Die Details sind im Palo Alto Networks Security Advisory verfuegbar. Gemaess KEV-Katalog: Wenden Sie die Abhilfemassnahmen des Herstellers an oder stellen Sie die Nutzung des Produkts ein, falls keine Patches verfuegbar sind.
-
Netzwerkzugriff auf Expedition sofort einschraenken: Stellen Sie sicher, dass Expedition nicht vom Internet oder aus nicht vertrauenswuerdigen Netzwerken erreichbar ist. Beschraenken Sie den Zugriff ueber Firewall-Regeln auf autorisierte Administratoren und verwenden Sie ein dediziertes Management-Netzwerk.
-
Gespeicherte Zugangsdaten rotieren: Da alle in Expedition gespeicherten Secrets potenziell kompromittiert sein koennten, muessen alle Firewall-Zugangsdaten, API-Schluessel, Zertifikate und VPN-Konfigurationen rotiert werden. Behandeln Sie alle in Expedition importierten Daten als potentiell kompromittiert.
-
Expedition-Protokolle auf verdaechtige Zugriffe pruefen: Untersuchen Sie die Zugriffsprotokolle von Expedition auf unbekannte IP-Adressen, ungewoehnliche Zugriffszeiten und verdaechtige administrative Aktionen. Pruefen Sie insbesondere, ob Konfigurationsdaten exportiert wurden.
-
Langfristige Sicherheitsstrategie fuer Konfigurationstools: Evaluieren Sie die Notwendigkeit von Expedition in Ihrer Umgebung. Falls das Tool nicht regelmaessig benoetigt wird, sollte es deaktiviert oder deinstalliert werden. Implementieren Sie grundsaetzlich eine strenge Netzwerkisolierung fuer alle Management- und Konfigurationstools.
Technische Details
CVE-2024-5910 betrifft Palo Alto Networks Expedition, ein Tool zur Konfigurationsmigration und -optimierung. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H zeigt, dass der Angriff ueber das Netzwerk (AV:N) mit niedriger Komplexitaet (AC:L) und ohne Authentifizierung (PR:N) oder Benutzerinteraktion (UI:N) durchfuehrbar ist.
Die Schwachstelle besteht darin, dass eine kritische administrative Funktion in Expedition keine Authentifizierung erfordert. Ein Angreifer mit Netzwerkzugriff auf das Expedition-System kann diese Funktion aufrufen und das Administratorkonto uebernehmen, ohne gueltige Anmeldeinformationen zu besitzen. Die von Horizon3.ai veroeffentlichte Analyse zeigt, dass die Schwachstelle zu einer vollstaendigen Kompromittierung des Expedition-Systems fuehren kann, einschliesslich des Zugriffs auf alle gespeicherten Konfigurationsdaten und Zugangsdaten. Da Expedition typischerweise Firewall-Konfigurationen, VPN-Credentials und Sicherheitsrichtlinien enthaelt, erstreckt sich der Schaden weit ueber Expedition selbst hinaus auf die gesamte Sicherheitsinfrastruktur.
Betroffen sind Expedition-Versionen ab 1.2.0 bis vor 1.2.92. Der Scope bleibt unveraendert (S:U), alle drei Impact-Metriken sind auf High gesetzt, was die vollstaendige Kompromittierung des Expedition-Systems und der darin gespeicherten Daten widerspiegelt.
Häufig gestellte Fragen
Was ist Palo Alto Networks Expedition?
Expedition ist ein Tool von Palo Alto Networks, das bei der Migration, Optimierung und Anreicherung von Firewall-Konfigurationen hilft. Es wird haeufig verwendet, um Konfigurationen von anderen Herstellern zu Palo Alto Networks-Firewalls zu migrieren. Das Tool speichert dabei typischerweise sensitive Konfigurationsdaten, Zugangsdaten und Zertifikate.
Kann die Schwachstelle ohne Authentifizierung ausgenutzt werden?
Ja, CVE-2024-5910 erfordert keinerlei Authentifizierung. Ein Angreifer benoetigt lediglich Netzwerkzugriff auf das Expedition-System. Genau dies macht die Schwachstelle so gefaehrlich -- jeder mit Netzwerkzugang kann das Administratorkonto uebernehmen.
Welche Daten sind nach einer Kompromittierung gefaehrdet?
Alle in Expedition gespeicherten Daten sind betroffen, darunter Firewall-Konfigurationen, VPN-Zugangsdaten, API-Schluessel, Zertifikate und Sicherheitsrichtlinien. Da Expedition als Migrationstool fungiert, enthaelt es haeufig die vollstaendigen Konfigurationen der Netzwerksicherheitsinfrastruktur. Alle diese Daten sollten nach einer potenziellen Kompromittierung als kompromittiert behandelt werden.
Wie ueberprueefe ich, ob meine Expedition-Instanz betroffen ist?
Ueberpruefen Sie die installierte Expedition-Version. Alle Versionen ab 1.2.0 bis vor 1.2.92 sind verwundbar. Pruefen Sie zudem, ob Expedition aus nicht vertrauenswuerdigen Netzwerken erreichbar ist. Analysieren Sie die Zugriffsprotokolle auf verdaechtige Aktivitaeten und rotieren Sie vorsorglich alle in Expedition gespeicherten Zugangsdaten.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.