CVE-2020-2034-POC

Bestimmen Sie die auf der Palo Alto Network Firewall ausgeführte Version für das Global Protect Portal

Kürzlich wurden von Palo Alto Networks eine Reihe kritischer Schwachstellen veröffentlicht: https://security.paloaltonetworks.com/?severity=CRITICAL&product=PAN-OS&sort=-date

Dies ist ein PoC zur Bestimmung der von der Firewall verwendeten Version, indem der Etag aus einem Curl-Scan auf deren Favicon und login.esp untersucht wird.

Referenz:

CWE-78 Auswirkung: https://cwe.mitre.org/data/definitions/78

Laut The Register: https://www.theregister.com/2020/07/09/palo_alto_fix/

Laut Vulmon: https://vulmon.com/searchpage?q=paloaltonetworks

Anleitung:

Stellen Sie sicher, dass Sie die neueste Python3 installiert haben.

Demo:

curl -skI https://example.com/global-protect/login.esp

HTTP/1.1 200 OK Content-Type: text/html; charset=UTF-8 Connection: keep-alive ETag: "5e4c6-2f3g-5b650798"

Um dies zu bestimmen, müssen wir den Etag einiger URLs untersuchen. Dabei extrahieren wir die letzten 8 Zeichen des Etags, die hexadezimal sind. Durch Umwandlung in Dezimal und anschließende Konvertierung von Epochenzeit in lesbare Zeit können wir die verwendete Version ermitteln und prüfen, ob sie anfällig für diese kürzlich von Palo Alto Networks veröffentlichte OS Command Injection ist.

Aus dem Demo-Beispiel interessieren uns die letzten 8 Zeichen:

5b650798

Konvertieren Sie dies von Hexadezimal zu Dezimal und dann von dezimaler Epochenzeit in lesbare Zeit.