CVE-2024-0012 / CVE-2024-9474 — PAN-OS Authentifizierungsumgehung → Privilegieneskalationskette

CVE	Beschreibung	CVSS
CVE-2024-0012	PAN-OS Management-Interface Authentifizierungsumgehung	9.3
CVE-2024-9474	PAN-OS Privilegieneskalation	6.9

In einer Kette ermöglichen diese Schwachstellen eine nicht authentifizierte Remote-Codeausführung auf dem PAN-OS Management-Webinterface.

Beide wurden als Zero-Day aktiv in freier Wildbahn ausgenutzt und werden unter der Bezeichnung Operation Lunar Peek verfolgt. Die Forschung wurde ursprünglich von watchTowr veröffentlicht.

---

Überblick

Das Palo Alto Networks PAN-OS Management-Webinterface ist von zwei kritischen Schwachstellen betroffen, die in Kombination einem Angreifer vollständigen Root-Zugriff ohne Authentifizierung ermöglichen:

1. CVE-2024-0012 — Umgehung der Authentifizierungskontrollen, um als nicht authentifizierter entfernter Angreifer auf authentifizierte Endpunkte zuzugreifen.
2. CVE-2024-9474 — Nach der Authentifizierung (selbst als Benutzer mit niedrigen Berechtigungen) den PHP-Session-Handler umgehen, um beliebige Dateien zu schreiben und auf Root zu eskalieren.

---

Technische Details

CVE-2024-0012 — Authentifizierungsumgehung

Das Management-Webinterface validiert die Authentifizierung für bestimmte API- und PHP-Endpunkte nicht ordnungsgemäß. Durch Manipulation von HTTP-Anfragepfaden (z. B. Path-Traversal oder Doppelslash-Techniken) kann ein Angreifer geschützte Handler erreichen, die normalerweise eine gültige Sitzung erfordern. Dies gewährt effektiv nicht authentifizierten Zugriff auf die PHPRESTAPI und andere interne Endpunkte.

Die Grundursache liegt in den Nginx/Apache-Routingregeln, die bei bestimmten URI-Mustern keine Session-Prüfungen erzwingen, sodass Anfragen die Authentifizierungsmiddleware umgehen können.

CVE-2024-9474 — Privilegieneskalation via PHP-Session-Schreiben

Sobald der Angreifer authentifiziert ist (selbst als Nur-Lese- oder niedrig privilegierter Benutzer), liegt die Schwachstelle im PHP-Session-Serialisierungsmechanismus. Der session.save_path ist fehlkonfiguriert und der Session-Dateiname ist teilweise vom Benutzer kontrollierbar. Durch das Erstellen einer Session-ID, die Path-Traversal-Sequenzen enthält, kann ein Angreifer eine PHP-Session-Datei an einen beliebigen Speicherort schreiben (z. B. ../utils/webshell.php).

Da der Webserver als Root läuft, erbt die geschriebene Datei den Root-Besitzer, was dem Angreifer eine Root-Webshell verschafft.

---

Betroffene Versionen

PAN-OS Version	Betroffen	Behoben in
10.2	< 10.2.12-h2	10.2.12-h2
11.0	< 11.0.6-h1	11.0.6-h1
11.1	< 11.1.5-h1	11.1.5-h1
11.2	< 11.2.4-h1	11.2.4-h1
11.3	Nicht betroffen	—
Cloud NGFW	Nicht betroffen	—

---

Ausbeutungskette

Angreifer (nicht authentifiziert)
    │
    ├─ CVE-2024-0012 ─────────────────────────────┐
    │  Auth-Umgehung via manipulierter URI          │
    │  → Zugriff auf PHPRESTAPI-Endpunkt            │
    │  → Erstellen eines API-Schlüssels / Session   │
    │    mit niedrigen Berechtigungen               │
    └──────────────────────────────────────────────┘
    │
    ├─ CVE-2024-9474 ─────────────────────────────┐
    │  Verwende erhaltene Session / Schlüssel       │
    │  → Sende manipulierte PHP-Session-ID         │
    │    (mit Path Traversal)                      │
    │  → Schreibe Session-Datei ins Webroot        │
    │  → Datei enthält PHP-Code (Webshell)         │
    └──────────────────────────────────────────────┘
    │
    ▼
RCE als Root via Webshell

---

Reproduktionsschritte

1. Identifiziere ein angreifbares PAN-OS Management-Interface (Standard-Port 443).
2. CVE-2024-0012 — Sende eine präparierte HTTP-Anfrage an einen internen Endpunkt mittels Pfadmanipulation, um die Authentifizierung zu umgehen. Erhalte einen authentifizierten Session-Token oder API-Schlüssel.
3. CVE-2024-9474 — Sende mit dem Token eine Anfrage an den Session-Handler-Endpunkt mit einer bösartigen X-PAN- oder Cookie-basierten Session-ID, die ../-Traversal enthält, um eine PHP-Nutzlast in das webzugängliche Verzeichnis php/ zu schreiben.
4. Greife auf die geschriebene Webshell unter /php/<shell>.php zu, um beliebige Befehle als Root auszuführen.

---

PoC

Siehe exploit.py in diesem Verzeichnis für einen funktionsfähigen Proof-of-Concept, der beide CVEs kombiniert.

---

Abhilfe

1. Aktualisiere PAN-OS auf die in der Tabelle der betroffenen Versionen aufgeführten Hotfix-Versionen.
2. Beschränke das Management-Interface auf vertrauenswürdige interne IPs – setze es niemals dem Internet aus.
3. Falls das Management-Interface dennoch exponiert werden muss, verwende ein dediziertes Management-VLAN oder einen Jump-Host mit strengen ACLs.

---

Referenzen

• watchTowr — Operation Lunar Peek
• Palo Alto Networks Security Advisory — CVE-2024-0012
• Palo Alto Networks Security Advisory — CVE-2024-9474
• NVD — CVE-2024-0012
• NVD — CVE-2024-9474