Un estudio llevado a cabo por la firma de seguridad Eclypsium identificó vulnerabilidades en tres modelos de firewalls de Palo Alto Networks. Las vulnerabilidades fueron agrupadas bajo el nombre PANdora’s Box y afectan a los modelos PA-3260, PA-1410 y PA-415.
Vulnerabilidades identificadas
Las fallas incluyen bypasses de Secure Boot y ejecución remota de código, lo que pone en riesgo la integridad de redes empresariales. El informe destaca que los fallos no son problemas marginales, sino vulnerabilidades ampliamente documentadas.
- BootHole (CVE-2020-10713) afecta a modelos PA-3260, PA-1410 y PA-415. Permite un desbordamiento de búfer que facilita la instalación de malware durante el arranque.
- Vulnerabilidad en firmware InsydeH20 (CVE-2022-24030 y otros) afecta al modelo PA-3260. Puede escalar privilegios y desactivar Secure Boot debido a errores en el System Management Mode (SMM) del firmware UEFI.
- LogoFAIL afecta al modelo PA-3260. Permite la ejecución de código malicioso durante el inicio del sistema mediante explotación de bibliotecas de imágenes en el firmware UEFI.
- PixieFail afecta a modelos PA-1410 y PA-415. Incluye fallos en la pila TCP/IP que permiten ejecución remota de código y filtración de información sensible.
- Acceso inseguro a memoria flash (PA-415) debido a configuraciones defectuosas en controles de acceso SPI flash, se permite modificar el firmware UEFI y evadir mecanismos de seguridad.
- CVE-2023-1017 (PA-415) incluye una escritura fuera de límites en la biblioteca de especificaciones del Módulo de Plataforma Segura (TPM 2.0).
- Bypass de claves Intel BootGuard (PA-1410) permite eludir protecciones de arranque seguro mediante uso de claves criptográficas comprometidas.
Modelos afectados y estado de soporte
Los modelos impactados son PA-3260, PA-1410 y PA-415. PA-3260 fue declarado end-of-sale en agosto de 2023. PA-1410 y PA-415 son modelos aún soportados oficialmente por Palo Alto Networks.
Respuesta de Palo Alto Networks
Palo Alto Networks aseguró que la seguridad de los clientes es prioridad máxima. Su equipo de respuesta a incidentes (PSIRT) evaluó las vulnerabilidades. Según la compañía, los escenarios de explotación no existen en dispositivos actualizados en PAN-OS bajo condiciones normales y con interfaces de gestión configuradas según mejores prácticas.
Recomendaciones de mitigación
Se recomienda actualizar PAN-OS inmediatamente para asegurarse de que todos los firewalls ejecuten la última versión del sistema operativo. Se recomienda restringir acceso administrativo limitando las interfaces de gestión a redes confiables y emplear autenticación multifactor (MFA).
Se recomienda auditar configuraciones verificando que Secure Boot y otras protecciones de firmware estén habilitadas y correctamente configuradas. Se recomienda monitorizar actividad UEFI implementando herramientas que detecten modificaciones no autorizadas en el firmware.
Se recomienda planificar sustitución para PA-3260 reemplazando modelos obsoletos con dispositivos soportados y seguros.
Riesgos identificados
Este caso resalta los riesgos asociados a la seguridad de la cadena de suministro, especialmente en componentes de firmware desarrollados por terceros, como Insyde Software. Sectores como finanzas, energía o defensa son particularmente vulnerables a ataques de ransomware o espionaje.