Was ist CVE-2024-3400 in PAN-OS GlobalProtect?

CVE-2024-3400 ist eine Befehlsinjektion im GlobalProtect-Gateway von PAN-OS. Ein Angreifer ohne Zugangsdaten konnte damit Befehle als root ausführen, und zwar auf der Firewall, die das Netzwerk eigentlich schützen sollte. Die Bewertung liegt bei 10.0. Die Lücke wurde gut zwei Wochen vor dem Advisory bereits gezielt ausgenutzt.

Im April 2024 zeigte sich, dass Angreifer bereits seit Ende März in Firewalls von Palo Alto Networks eindrangen. Sie nutzten einen Fehler in genau der Komponente, mit der Organisationen ihre Mitarbeiter sicher von außen anmelden lassen.

Was ist CVE-2024-3400

Das GlobalProtect-Gateway verarbeitete einen Wert aus einem Cookie, ohne ihn von den Betriebssystembefehlen zu trennen, die darum herum ausgeführt wurden. Wer den richtigen Text in dieses Cookie setzte, ließ eigene Befehle mitlaufen. Diese Befehle liefen als root, denn so läuft der Dienst auf dem Gerät.

Das ist Remote Code Execution in Reinform: kein Konto, keine Interaktion, vollständige Kontrolle.

Was die Angreifer taten

Die Forscher, die es entdeckten, nannten die Kampagne Operation MidnightEclipse. Die Angreifer legten ein Skript ab, das Befehle aus den Webserver-Logs las und die Ausgabe in einer Datei zurückgab, die als legitimer Bestandteil des Geräts durchging. So hatten sie einen Steuerkanal, der in der normalen Protokollierung kaum auffiel.

Danach folgte das Übliche: Konfiguration auslesen, Zugangsdaten sammeln und von der Firewall aus ins interne Netzwerk weitergehen.

Warum der Netzwerkrand immer häufiger das Ziel ist

VPN-Konzentratoren, Firewalls und Gateways haben drei Eigenschaften, die Angreifer anziehen. Sie stehen immer am Internet, sie haben weitreichende Rechte im Netzwerk, und auf ihnen läuft oft keine Erkennungssoftware, weil es geschlossene Geräte sind. Ein Einbruch dort ist deshalb deutlich schwerer zu sehen als einer auf einem Arbeitsplatzrechner.

Was jetzt zu tun ist

Prüfen Sie, ob PAN-OS auf 10.2.9-h1, 11.0.4-h1, 11.1.2-h3 oder höher läuft.
Stellen Sie Verwaltungsoberflächen von Netzwerkgeräten nie direkt ins Internet. Siehe auch Security Misconfiguration.
Nehmen Sie Randgeräte in Ihre Logsammlung auf. Wenn vom Gerät nichts weggeschrieben wird, erfahren Sie von einem Einbruch erst, wenn jemand anders ihn bemerkt.
Gehen Sie bei einer kritischen Lücke in Randgeräten davon aus, dass sie bereits ausgenutzt wurde, und suchen Sie aktiv danach, statt nur zu patchen.

Häufige Fragen

Warum ist eine Lücke in einer Firewall besonders schwerwiegend?

Eine Firewall steht definitionsgemäß am Internet und sieht den gesamten Verkehr dahinter. Wer dort root erlangt, sitzt nicht am Rand des Netzwerks, sondern in dessen Schaltzentrale.

War jeder mit PAN-OS betroffen?

Nein. Es brauchte ein aktiviertes GlobalProtect-Gateway zusammen mit Device Telemetry. Das verkleinerte den Kreis, traf aber genau die Organisationen, die das Gerät für Fernzugriff nutzten.

Hat Patchen gereicht?

Nur wenn noch niemand eingedrungen war. Palo Alto empfahl, nach dem Patchen auf Spuren einer Kompromittierung zu prüfen, weil ein früher eingedrungener Angreifer eigenen Zugang hinterlassen haben kann.

PAN-OS GlobalProtect (CVE-2024-3400)