CVE-2024-9465
Palo Alto Networks Expedition SQL Injection Vulnerability
Beschreibung
CVE-2024-9465 ist eine kritische SQL-Injection-Schwachstelle in Palo Alto Networks Expedition, die es einem unauthentifizierten Angreifer ermoeglicht, den Inhalt der Expedition-Datenbank offenzulegen, einschliesslich Passwort-Hashes, Benutzernamen, Geraetekonfigurationen und API-Schluessel. Die Schwachstelle wird mit einem CVSS-Score von 9.1 (CRITICAL) bewertet und betrifft Expedition in den Versionen ab 1.2.0 bis unter 1.2.96.
Die CISA hat CVE-2024-9465 in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 2024-12-05. Der EPSS-Score von 94,29 % (99,9. Perzentil) signalisiert eine nahezu sichere Ausnutzungsaktivitaet. Neben dem Datenbankzugriff koennen Angreifer auch beliebige Dateien auf dem Expedition-System erstellen und lesen.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:NIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| paloaltonetworks | expedition | >= 1.2.0, < 1.2.96 |
Referenzen
- https://security.paloaltonetworks.com/PAN-SA-2024-0010(Mitigation, Vendor Advisory)
- https://www.horizon3.ai/attack-research/palo-alto-expedition-from-n-day-to-full-compromise/(Exploit)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2024-9465(US Government Resource)
Schwachstellentyp
CWE-89: SQL Injection
CVE-2024-9465 basiert auf CWE-89 (SQL Injection). Die Schwachstelle entsteht durch unzureichende Bereinigung von Benutzereingaben, die direkt in SQL-Abfragen der Expedition-Anwendung eingebettet werden. Ein Angreifer kann dadurch die beabsichtigte SQL-Logik manipulieren und beliebige Datenbankabfragen ausfuehren, um sensible Informationen wie Passwort-Hashes, Benutzernamen, Geraetekonfigurationen und API-Schluessel aus der Datenbank zu extrahieren.
Besonders kritisch ist, dass die SQL-Injection auch das Erstellen und Lesen beliebiger Dateien auf dem Expedition-System ermoeglicht, was ueber einen reinen Datenbankzugriff hinausgeht.
Weitere Informationen: CWE-89 -- SQL Injection
Auswirkungsanalyse
Die Auswirkungen von CVE-2024-9465 sind ausserordentlich schwerwiegend, da Palo Alto Networks Expedition als Migrations- und Konfigurationstool sensible Firewall-Daten verwaltet. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N zeigt eine remote ausnutzbare Schwachstelle ohne Authentifizierung und mit niedriger Komplexitaet. Vertraulichkeit (Hoch): Durch die SQL-Injection koennen Angreifer saemtliche Datenbankinhalte auslesen, darunter Passwort-Hashes, Benutzernamen, PAN-OS-Firewall-Konfigurationen und API-Schluessel. Diese Informationen ermoeglichen Folgeangriffe auf die verwalteten Firewalls. Integritaet (Hoch): Neben dem Datenbankzugriff koennen Angreifer beliebige Dateien auf dem System erstellen und modifizieren, was die Installation von Backdoors und die Manipulation von Konfigurationen ermoeglicht. Verfuegbarkeit (Keine): Die Verfuegbarkeit des Systems ist nicht direkt betroffen. Der EPSS-Score von 94,29 % (99,9. Perzentil) bestaetigt die massive Ausnutzung. Die extrahierten Daten koennen fuer gezielte Angriffe auf die verwalteten PAN-OS-Firewalls verwendet werden, was die tatsaechlichen Auswirkungen weit ueber das Expedition-System hinaus vergroessert.
Exploit-Reifegrad
CVE-2024-9465 weist eine ausserordentlich hohe Exploit-Reife auf. Die CISA hat die aktive Ausnutzung bestaetigt und die Schwachstelle mit einer Behebungsfrist bis zum 2024-12-05 in den KEV-Katalog aufgenommen. Der EPSS-Score von 94,29 % (99,9. Perzentil) zeigt eine nahezu sichere Ausnutzungsaktivitaet an. Der Ransomware-Status ist aktuell als unbekannt klassifiziert. Horizon3.ai hat eine detaillierte Exploit-Analyse veroeffentlicht, die den vollstaendigen Angriffspfad von der SQL-Injection bis zur kompletten Kompromittierung des Expedition-Systems demonstriert. Palo Alto Networks hat ein Security Advisory (PAN-SA-2024-0010) veroeffentlicht, das diese und weitere Expedition-Schwachstellen adressiert.
Behebung
-
Expedition umgehend aktualisieren: Installieren Sie Expedition Version 1.2.96 oder hoeher. Konsultieren Sie das Palo Alto Networks Security Advisory PAN-SA-2024-0010 fuer Patch-Details.
-
Netzwerkzugang zu Expedition einschraenken: Stellen Sie sicher, dass Expedition nur aus vertrauenswuerdigen Netzwerken erreichbar ist. Expedition sollte niemals ueber das Internet zugaenglich sein.
-
Zugangsdaten rotieren: Aendern Sie alle in der Expedition-Datenbank gespeicherten Passwoerter, Benutzernamen und API-Schluessel. Da diese Informationen moeglicherweise bereits kompromittiert wurden, muessen auch die Zugangsdaten der verwalteten PAN-OS-Firewalls erneuert werden.
-
Firewall-Konfigurationen ueberpruefen: Pruefen Sie alle durch Expedition verwalteten Firewall-Konfigurationen auf unautorisierte Aenderungen. Exportierte Konfigurationen koennen kompromittierte Zugangsdaten enthalten.
-
Expedition ausser Betrieb nehmen, wenn nicht benoetigt: Wenn Expedition aktuell nicht aktiv fuer Migrationen genutzt wird, sollte das System bis zur vollstaendigen Absicherung vom Netzwerk getrennt oder heruntergefahren werden.
Technische Details
CVE-2024-9465 betrifft Palo Alto Networks Expedition in den Versionen ab 1.2.0 bis unter 1.2.96. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N beschreibt eine remote ausnutzbare Schwachstelle mit maximaler Auswirkung auf Vertraulichkeit und Integritaet. Angriffsvektor (Netzwerk): Die Schwachstelle ist ueber das Netzwerk erreichbar, typischerweise ueber die Web-Oberflaeche von Expedition. Angriffskomplexitaet (Niedrig): SQL-Injection erfordert keine besonderen Bedingungen. Berechtigungen (Keine): Keine Authentifizierung erforderlich. Benutzerinteraktion (Keine): Der Angriff kann vollstaendig automatisiert erfolgen. Der Angriffsmechanismus basiert auf einer klassischen SQL-Injection, bei der Benutzereingaben ohne ausreichende Parameterisierung in SQL-Abfragen eingebettet werden. Ein Angreifer kann dadurch beliebige SQL-Befehle ausfuehren und die gesamte Datenbank auslesen. Darueber hinaus ermoeglicht die Schwachstelle das Erstellen und Lesen beliebiger Dateien auf dem Betriebssystem, was auf die Nutzung von SQL-Features wie INTO OUTFILE oder LOAD_FILE hindeutet. Die Horizon3.ai-Analyse zeigt den vollstaendigen Angriffspfad im Detail.
Häufig gestellte Fragen
Welche Daten koennen durch CVE-2024-9465 kompromittiert werden?
Durch die SQL-Injection koennen Angreifer den gesamten Inhalt der Expedition-Datenbank auslesen, einschliesslich Passwort-Hashes, Benutzernamen, PAN-OS-Firewall-Konfigurationen und API-Schluessel. Zusaetzlich koennen beliebige Dateien auf dem System gelesen und erstellt werden.
Ist mein Expedition-System betroffen?
Alle Expedition-Installationen ab Version 1.2.0 bis unter 1.2.96 sind betroffen. Pruefen Sie Ihre installierte Version und aktualisieren Sie umgehend auf 1.2.96 oder hoeher. Wenn Expedition ueber das Internet erreichbar war, gehen Sie von einer Kompromittierung aus.
Koennen kompromittierte Expedition-Daten fuer Angriffe auf PAN-OS-Firewalls genutzt werden?
Ja, die in der Expedition-Datenbank gespeicherten Informationen umfassen Firewall-Konfigurationen, API-Schluessel und Zugangsdaten. Ein Angreifer kann diese Daten nutzen, um sich direkt bei den verwalteten PAN-OS-Firewalls zu authentifizieren und dort weitere Angriffe durchzufuehren.
Wird CVE-2024-9465 aktiv ausgenutzt?
Ja, die CISA hat CVE-2024-9465 in den KEV-Katalog aufgenommen und bestaetigt damit die aktive Ausnutzung. Der EPSS-Score von 94,29 % (99,9. Perzentil) gehoert zu den hoechsten ueberhaupt beobachteten Werten. Oeffentliche Exploit-Analysen von Horizon3.ai sind verfuegbar.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.