CVE-2024-3400
PAN-OS GlobalProtect: command injection через создание файла
CVE-2024-3400 позволяет неаутентифицированному атакующему выполнить код от root на PAN-OS firewall при включённом GlobalProtect portal или gateway. Нужны срочное обновление и проверка признаков компрометации.
Кому нужно проверить
Администраторам PAN-OS firewall с GlobalProtect и командам реагирования на компрометацию периметровых устройств. Важна не только марка продукта, но и конкретная версия, способ установки, операционная система и конфигурация.
В чём риск
Неаутентифицированный удалённый атакующий может выполнить произвольный код с правами root. После атаки возможны изменения конфигурации и persistence, поэтому одно обновление без расследования может быть недостаточным.
Затронутые версии
Затронуты PAN-OS 10.2, 11.0 и 11.1 при настроенном GlobalProtect portal или gateway и версиях ниже соответствующего исправленного h-релиза. PAN-OS 10.1 и старше, Cloud NGFW, Panorama appliances и Prisma Access в advisory указаны как не затронутые.
Исправленные версии
Исправления включают 11.1.0-h3, 11.1.1-h1, 11.1.2-h3; 11.0.0-h3, 11.0.1-h4, 11.0.2-h4, 11.0.3-h10, 11.0.4-h1; для 10.2: 10.2.0-h3, 10.2.1-h2, 10.2.2-h5, 10.2.3-h13, 10.2.4-h16, 10.2.5-h6, 10.2.6-h3, 10.2.7-h8, 10.2.8-h3 и 10.2.9-h1.
Что сделать
- 1Проверьте версии PAN-OS и наличие GlobalProtect portal/gateway на всех firewall, включая customer-managed VM-Series.
- 2Немедленно примените доступные Threat Prevention signatures и ограничьте административное управление доверенными сетями; эти меры не заменяют исправление PAN-OS.
- 3Перед перезагрузкой в исправленную версию сохраните Tech Support File для forensic analysis, затем обновите устройство по процедуре Palo Alto и проверьте конфигурацию.
- 4Проверьте индикаторы эксплуатации и persistence по advisory, журналы и изменения файлов. При подозрении на компрометацию откройте кейс у Palo Alto и не стирайте доказательства до сбора TSF.
Как не подпустить ботов к сайту
BotProtection принимает запросы перед вашим сайтом и фильтрует автоматизированные обращения. Поэтому ботам сложнее добраться до уязвимого компонента и начать его проверять или атаковать, а вероятность успешной автоматизированной атаки становится значительно ниже. Это дополнительный слой защиты: обновление уязвимых компонентов, проверка журналов и реагирование на инциденты остаются обязательными.
Первоисточники
Снизьте шанс атаки до того, как бот дойдёт до сайта
Подключите BotProtection как фильтр перед сайтом: подозрительные автоматизированные запросы отсекаются до обращения к вашему серверу. Это значительно снижает вероятность автоматизированной атаки, но не исправляет саму уязвимость, поэтому обновление и настройка компонентов остаются обязательными.