CVE-2024-0012 / CVE-2024-9474 — تجاوز المصادقة في PAN-OS → سلسلة تصعيد الامتيازات

عند الربط بينهما، تسمح هذه الثغرات بتنفيذ تعليمات برمجية عن بعد بدون مصادقة على واجهة الويب الإدارية لـ PAN-OS.

تم استغلال كلاهما بنشاط كثغرات يوم-صفر في البرية تحت ما يُتبع باسم Operation Lunar Peek. تم الكشف عن البحث في البداية بواسطة watchTowr.

نظرة عامة

واجهة الويب الإدارية لـ PAN-OS من Palo Alto Networks معرضة لثغراتين حرجتين، عند دمجهما، تمنح المهاجم وصولاً كاملاً على مستوى الجذر بدون أي مصادقة:

1. CVE-2024-0012 — تجاوز ضوابط المصادقة والوصول إلى نقاط النهاية المصادَقة كمهاجم عن بعد غير مصادَق.
2. CVE-2024-9474 — بمجرد المصادقة (حتى كمستخدم منخفض الامتياز)، الهروب من معالج جلسة PHP لكتابة ملفات عشوائية وتصعيد الامتيازات إلى الجذر.

تفاصيل تقنية

CVE-2024-0012 — تجاوز المصادقة

واجهة الويب الإدارية تتحقق بشكل غير صحيح من المصادقة لنقاط نهاية معينة لواجهة برمجة التطبيقات وPHP. من خلال التلاعب بمسارات طلبات HTTP (مثل تقنيات اجتياز المسار أو الشرطة المزدوجة)، يمكن للمهاجم الوصول إلى معالجات مقيدة تتطلب عادةً جلسة صالحة. وهذا يمنح فعليًا وصولاً غير مصادَق إلى PHPRESTAPI ونقاط نهاية داخلية أخرى.

السبب الجذري يكمن في قواعد التوجيه في Nginx/Apache التي تفشل في فرض فحوصات الجلسة على أنماط URI محددة، مما يسمح للطلبات بتجاوز وسيط المصادقة.

CVE-2024-9474 — تصعيد الامتيازات عبر كتابة جلسة PHP

بمجرد المصادقة (حتى كمستخدم للقراءة فقط أو منخفض الامتياز)، توجد الثغرة في آلية تسلسل جلسة PHP. session.save_path تم تكوينه بشكل خاطئ، واسم ملف الجلسة يتم التحكم فيه جزئيًا بواسطة المستخدم. من خلال صياغة معرّف جلسة يحتوي على تسلسلات اجتياز المسار، يمكن للمهاجم كتابة ملف جلسة PHP إلى موقع عشوائي (مثل ../utils/webshell.php).

لأن خادم الويب يعمل كجذر، فإن الملف المكتوب يرث ملكية الجذر، مما يمنح المهاجم شِل ويب على مستوى الجذر.

الإصدارات المتأثرة

سلسلة الاستغلال

Attacker (unauthenticated)
    │
    ├─ CVE-2024-0012 ─────────────────────────────┐
    │  Bypass auth via crafted URI                  │
    │  → Gain access to PHPRESTAPI endpoint         │
    │  → Create a low-privilege API key / session   │
    └──────────────────────────────────────────────┘
    │
    ├─ CVE-2024-9474 ─────────────────────────────┐
    │  Use obtained session/key                     │
    │  → Send crafted PHP session ID (path traversal)│
    │  → Write session file to webroot              │
    │  → File contains PHP code (webshell)          │
    └──────────────────────────────────────────────┘
    │
    ▼
RCE as root via webshell

خطوات إعادة الإنتاج

1. تحديد واجهة إدارة PAN-OS ضعيفة (المنفذ 443 افتراضيًا).
2. CVE-2024-0012 — إرسال طلب HTTP مُعدّل إلى نقطة نهاية داخلية باستخدام التلاعب بالمسار لتجاوز المصادقة. استقبال رمز جلسة مصادَق أو مفتاح API.
3. CVE-2024-9474 — باستخدام الرمز المميز، إرسال طلب إلى نقطة نهاية معالج الجلسة مع معرّف جلسة خبيث يعتمد على X-PAN- أو الكوكيز يحتوي على اجتياز ../ لكتابة حمولة PHP إلى الدليل php/ الذي يمكن الوصول إليه عبر الويب.
4. الوصول إلى شِل الويب المكتوب على /php/<shell>.php لتنفيذ أوامر عشوائية كجذر.

إثبات المفهوم

انظر exploit.py في هذا الدليل للحصول على إثبات مفهوم عملي يربط بين ثغراتي CVE.

التخفيف

1. ترقية PAN-OS إلى إصدارات التصحيح المدرجة في جدول الإصدارات المتأثرة.
2. تقييد واجهة الإدارة بعناوين IP داخلية موثوقة فقط — لا تعرضها للإنترنت أبدًا.
3. إذا كان يجب تعريض واجهة الإدارة، فاستخدم شبكة VLAN إدارية مخصصة أو صندوق قفز مع قوائم تحكم وصول صارمة.

المراجع

• watchTowr — Operation Lunar Peek
• نشرة أمنية من Palo Alto Networks — CVE-2024-0012
• نشرة أمنية من Palo Alto Networks — CVE-2024-9474
• NVD — CVE-2024-0012
• NVD — CVE-2024-9474