Vulnerabilidad crítica en PAN-OS permite ejecución remota de código con privilegios root
Descubrimiento y explotación activa
Palo Alto Networks ha alertado sobre una vulnerabilidad crítica que afecta su software PAN-OS utilizado en sus gateways GlobalProtect. La vulnerabilidad permite la ejecución de código remoto con privilegios de root, lo cual puede permitir a un atacante no autenticado realizar acciones peligrosas en el firewall.
Registrada como CVE-2024-3400, esta vulnerabilidad tiene una puntuación CVSS de 10. La compañía ha confirmado que se está explotando activamente la vulnerabilidad desde marzo, lo cual sugiere un interés significativo por parte de actores maliciosos.
Detalles técnicos
La vulnerabilidad afecta a las siguientes versiones de PAN-OS:
- PAN-OS <11.1.2-h3
- PAN-OS <11.0.4-h1
- PAN-OS <10.2.9-h1
La vulnerabilidad se aplica solo a los firewalls PAN-OS 10.2, PAN-OS 11.0 y PAN-OS 11.1 configurados con la puerta de enlace GlobalProtect o el portal GlobalProtect (o ambos) y la telemetría del dispositivo habilitada.
La compañía ha confirmado que el problema se aplica solo a los firewalls que tienen las configuraciones tanto para GlobalProtect gateway como para la telemetría del dispositivo habilitadas.
Actividad de amenazas
La división Unit 42 de Palo Alto Networks está rastreando la actividad bajo el nombre Operación MidnightEclipse, atribuyéndola como el trabajo de un único actor de amenazas de procedencia desconocida.
Los ataques documentados hasta la fecha muestran que UTA0218 implementa cargas útiles adicionales para iniciar shells, filtrar datos de configuración de PAN-OS, eliminar archivos de registro e implementar la herramienta de tunelización Golang denominada GOST (GO Simple Tunnel).
Impacto y mitigaciones
Palo Alto Networks ha publicado las correcciones el 14 de abril. La empresa reconoce que las mitigaciones inicialmente recomendadas, la de deshabilitar la telemetría del dispositivo, NO es una forma eficaz de prevenir ataques.
ShadowServer Foundation informa que está detectando más de 156.000 dispositivos expuestos con esta vulnerabilidad. Los IOC se encuentran disponibles en el sitio de Volexity.
Guía de remediación
Palo Alto Networks ha compartido una guía de solución para la vulnerabilidad. Se ha solucionado en varias versiones de PAN-OS 10.2.x, 11.0.x y 11.1.x.
- Nivel 0 – intento de explotación fallido: actualizar a la última revisión proporcionada.
- Nivel 1 – evidencia de vulnerabilidad que se está ejecutando en el dispositivo, incluida la creación de un archivo vacío en el firewall pero sin ejecución de comandos no autorizados. Actualizar a la última revisión proporcionada.
- Filtración de nivel 2 – señales donde archivos como «running_config.xml» se copian a una ubicación a la que se puede acceder a través de solicitudes web: actualizar a la última revisión proporcionada y realizar un restablecimiento de datos privados.
- Acceso interactivo de nivel 3 – evidencia de ejecución de comandos interactivos, como la introducción de puertas traseras y otros códigos maliciosos. Actualizar a la última revisión proporcionada y realizar un restablecimiento de fábrica.
«Realizar un restablecimiento de datos privados elimina los riesgos de un posible uso indebido de los datos del dispositivo. Se recomienda un restablecimiento de fábrica debido a la evidencia de actividad de actores de amenazas más invasivos».
La empresa también menciona que el desarrollo se produce cuando los actores de amenazas chinos han dependido cada vez más de Zero-Days que afectan a Barracuda Networks, Fortinet, Ivanti y VMware para violar objetivos de interés e implementar puertas traseras encubiertas para un acceso persistente.
La firma estadounidense de ciberseguridad Volexity dijo: «La habilidad y la velocidad empleadas por el atacante sugieren un actor de amenazas altamente capaz con un manual claro de a qué acceder para promover sus objetivos».
CISA agregó la falla a su catálogo de Vulnerabilidades Explotadas Conocidas (KEV), exigiendo que las agencias federales apliquen los parches antes del 19 de abril para mitigar amenazas potenciales.