CVE-2024-9463
Palo Alto Networks Expedition OS Command Injection Vulnerability
Beschreibung
CVE-2024-9463 ist eine OS-Command-Injection-Schwachstelle in Palo Alto Networks Expedition, die es einem unauthentifizierten Angreifer ermoeglicht, beliebige Betriebssystembefehle als Root auszufuehren. Die Schwachstelle wird mit einem CVSS-Score von 7.5 (HIGH) bewertet und betrifft Expedition in den Versionen ab 1.2.0 bis unter 1.2.96.
Die CISA hat CVE-2024-9463 in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 2024-12-05. Der EPSS-Score von 94,20 % (99,9. Perzentil) signalisiert eine nahezu sichere Ausnutzungsaktivitaet. Durch die Ausfuehrung von Befehlen mit Root-Rechten koennen Angreifer Benutzernamen, Klartext-Passwoerter, Geraetekonfigurationen und API-Schluessel von PAN-OS-Firewalls offenlegen.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:NIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| paloaltonetworks | expedition | >= 1.2.0, < 1.2.96 |
Referenzen
- https://security.paloaltonetworks.com/PAN-SA-2024-0010(Mitigation, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2024-9463(US Government Resource)
Schwachstellentyp
CWE-78: OS Command Injection
CVE-2024-9463 basiert auf CWE-78 (OS Command Injection). Die Schwachstelle entsteht dadurch, dass Benutzereingaben in der Expedition-Anwendung unzureichend bereinigt und direkt an Betriebssystembefehle uebergeben werden. Ein Angreifer kann dadurch eigene Befehle einschleusen, die mit den Rechten des Expedition-Prozesses ausgefuehrt werden, in diesem Fall mit Root-Privilegien.
Die Ausfuehrung als Root bedeutet, dass keine Berechtigungsgrenzen die moeglichen Aktionen des Angreifers einschraenken, was die vollstaendige Kontrolle ueber das System ermoeglicht.
Weitere Informationen: CWE-78 -- OS Command Injection
Auswirkungsanalyse
Die Auswirkungen von CVE-2024-9463 konzentrieren sich auf die Offenlegung hochsensibler Daten aus der Expedition-Umgebung. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N zeigt eine remote ausnutzbare Schwachstelle ohne Authentifizierung mit maximaler Auswirkung auf die Vertraulichkeit. Vertraulichkeit (Hoch): Durch die Befehlsausfuehrung als Root kann ein Angreifer saemtliche Daten auf dem Expedition-System auslesen, einschliesslich Benutzernamen, Klartext-Passwoerter (nicht nur Hashes), PAN-OS-Firewall-Konfigurationen und API-Schluessel. Diese Informationen ermoeglichen direkte Folgeangriffe auf die verwalteten Firewalls. Integritaet (Keine): Die CVSS-Bewertung vergibt keine Integritaetsauswirkung, obwohl Root-Zugang theoretisch Aenderungen ermoeglicht. Verfuegbarkeit (Keine): Keine direkte Auswirkung auf die Systemverfuegbarkeit. Der EPSS-Score von 94,20 % (99,9. Perzentil) bestaetigt die massive Ausnutzung. In Kombination mit CVE-2024-9465 (SQL Injection) und anderen Expedition-Schwachstellen entsteht eine vollstaendige Kompromittierung des Systems und der verwalteten Firewall-Infrastruktur.
Exploit-Reifegrad
CVE-2024-9463 weist eine ausserordentlich hohe Exploit-Reife auf. Die CISA hat die aktive Ausnutzung bestaetigt und die Schwachstelle mit einer Behebungsfrist bis zum 2024-12-05 in den KEV-Katalog aufgenommen. Der EPSS-Score von 94,20 % (99,9. Perzentil) zeigt eine nahezu sichere Ausnutzungsaktivitaet an. Der Ransomware-Status ist aktuell als unbekannt klassifiziert. Palo Alto Networks hat ein Security Advisory (PAN-SA-2024-0010) veroeffentlicht, das CVE-2024-9463 zusammen mit mehreren weiteren Expedition-Schwachstellen adressiert, darunter CVE-2024-9465 (SQL Injection). Die Schwachstelle ist aufgrund der fehlenden Authentifizierung und der Root-Befehlsausfuehrung trivial auszunutzen, was sie besonders attraktiv fuer automatisierte Angriffe macht.
Behebung
-
Expedition umgehend aktualisieren: Installieren Sie Expedition Version 1.2.96 oder hoeher. Konsultieren Sie das Palo Alto Networks Security Advisory PAN-SA-2024-0010 fuer Patch-Details und Mitigationsmassnahmen.
-
Netzwerkzugang einschraenken: Isolieren Sie Expedition in einem dedizierten Management-Netzwerk und stellen Sie sicher, dass es nicht ueber das Internet erreichbar ist. Beschraenken Sie den Zugang auf autorisierte Administratoren.
-
Kompromittierte Zugangsdaten rotieren: Da die Schwachstelle die Offenlegung von Klartext-Passwoertern und API-Schluesseln ermoeglicht, muessen saemtliche in Expedition gespeicherte Zugangsdaten sowie die Zugangsdaten der verwalteten PAN-OS-Firewalls sofort rotiert werden.
-
System auf Kompromittierung pruefen: Fuehren Sie eine forensische Analyse des Expedition-Systems durch. Suchen Sie nach Anzeichen unbefugter Befehlsausfuehrung, wie ungewoehnliche Prozesse, neue Benutzerkonten oder modifizierte Systemdateien.
-
Expedition ausser Betrieb nehmen, wenn nicht benoetigt: Wenn Expedition aktuell nicht aktiv fuer Migrationen eingesetzt wird, trennen Sie das System vom Netzwerk oder fahren Sie es herunter, bis die Absicherung abgeschlossen ist.
Technische Details
CVE-2024-9463 betrifft Palo Alto Networks Expedition in den Versionen ab 1.2.0 bis unter 1.2.96. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N beschreibt eine remote ausnutzbare Schwachstelle mit maximaler Auswirkung auf die Vertraulichkeit. Angriffsvektor (Netzwerk): Die Schwachstelle ist ueber die Web-Oberflaeche von Expedition erreichbar. Angriffskomplexitaet (Niedrig): Keine besonderen Bedingungen oder spezifisches Wissen erforderlich. Berechtigungen (Keine): Der Angriff erfordert keinerlei Authentifizierung. Benutzerinteraktion (Keine): Der Angriff kann vollstaendig automatisiert erfolgen. Der Angriffsmechanismus basiert auf einer OS-Command-Injection, bei der Benutzereingaben ohne ausreichende Bereinigung in Betriebssystembefehle eingebettet werden. Da der Expedition-Dienst mit Root-Privilegien laeuft, werden die eingeschleusten Befehle ebenfalls als Root ausgefuehrt. Dies ermoeglicht dem Angreifer den Zugriff auf saemtliche Dateien des Systems, einschliesslich der Expedition-Datenbank mit Klartext-Passwoertern und der gespeicherten PAN-OS-Firewall-Konfigurationen. Im Unterschied zu CVE-2024-9465, die eine SQL-Injection nutzt, erfolgt der Zugriff hier auf Betriebssystemebene, was zusaetzliche Angriffsvektoren wie die Manipulation von Systemdateien und die Installation persistenter Backdoors eroeffnet.
Häufig gestellte Fragen
Was ist der Unterschied zwischen CVE-2024-9463 und CVE-2024-9465?
CVE-2024-9463 ist eine OS-Command-Injection, die beliebige Systembefehle als Root ausfuehrt und den Fokus auf Datenoffenlegung legt (CVSS 7.5). CVE-2024-9465 ist eine SQL-Injection, die den Datenbankinhalt offenlegt und zusaetzlich das Erstellen und Lesen von Dateien ermoeglicht (CVSS 9.1). Beide betreffen Expedition und werden im selben Advisory behandelt.
Welche Daten koennen offengelegt werden?
Durch die Root-Befehlsausfuehrung koennen Benutzernamen, Klartext-Passwoerter, PAN-OS-Firewall-Konfigurationen und API-Schluessel offengelegt werden. Anders als bei CVE-2024-9465 handelt es sich bei den Passwoertern um Klartext, nicht nur um Hashes, was die direkte Nutzung fuer Folgeangriffe ermoeglicht.
Wird CVE-2024-9463 aktiv ausgenutzt?
Ja, die CISA hat CVE-2024-9463 in den KEV-Katalog aufgenommen und bestaetigt damit die aktive Ausnutzung. Der EPSS-Score von 94,20 % (99,9. Perzentil) gehoert zu den hoechsten beobachteten Werten und bestaetigt die massive Ausnutzung in freier Wildbahn.
Welche Expedition-Version ist sicher?
Expedition Version 1.2.96 und hoeher enthalt den Fix fuer CVE-2024-9463 sowie fuer die verwandten Schwachstellen CVE-2024-9465, CVE-2024-9464, CVE-2024-9466 und CVE-2024-9467. Aktualisieren Sie umgehend auf diese oder eine neuere Version.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.