CVE-2024-0012 / CVE-2024-9474 — PAN-OS 認証バイパス → 権限昇格チェーン

連鎖させると、これらの脆弱性により、PAN-OS 管理 Web インターフェイス上で認証なしのリモートコード実行が可能になります。

いずれもゼロデイとして実際に悪用されており、Operation Lunar Peek として追跡されています。この調査は当初 watchTowr によって公開されました。

概要

Palo Alto Networks PAN-OS 管理 Web インターフェイスには、組み合わせることで攻撃者に認証なしで完全な root レベルのアクセスを許可する 2 つの重大な欠陥があります。

1. CVE-2024-0012 — 認証制御をバイパスし、認証されていないリモート攻撃者として認証済みエンドポイントに到達します。
2. CVE-2024-9474 — 認証後(低権限ユーザーであっても)、PHP セッションハンドラをエスケープして任意のファイルを書き込み、root に権限昇格します。

技術的詳細

CVE-2024-0012 — 認証バイパス

管理 Web インターフェイスは、特定の API および PHP エンドポイントに対する認証を適切に検証しません。HTTP リクエストパスを操作することにより(例: パストラバーサルやダブルスラッシュ手法)、攻撃者は通常は有効なセッションを必要とする制限されたハンドラに到達できます。これにより、事実上 PHPRESTAPI およびその他の内部エンドポイントへの認証なしアクセスが許可されます。

根本原因は、特定の URI パターンに対してセッションチェックを強制しない Nginx/Apache のルーティングルールにあり、リクエストが認証ミドルウェアをバイパスできるようになっています。

CVE-2024-9474 — PHP セッション書き込みによる権限昇格

認証後(読み取り専用または低権限ユーザーであっても)、この脆弱性は PHP セッションのシリアライズ機構に存在します。session.save_path が誤って設定されており、セッションファイル名は部分的にユーザーが制御できます。パストラバーサルシーケンスを含むセッション ID を細工することで、攻撃者は PHP セッションファイルを任意の場所(例: ../utils/webshell.php)に書き込むことができます。

Web サーバーが root として実行されるため、書き込まれたファイルは root の所有権を継承し、攻撃者に root レベルのウェブシェルを提供します。

影響を受けるバージョン

悪用チェーン

Attacker (unauthenticated)
    │
    ├─ CVE-2024-0012 ─────────────────────────────┐
    │  Bypass auth via crafted URI                  │
    │  → Gain access to PHPRESTAPI endpoint         │
    │  → Create a low-privilege API key / session   │
    └──────────────────────────────────────────────┘
    │
    ├─ CVE-2024-9474 ─────────────────────────────┐
    │  Use obtained session/key                     │
    │  → Send crafted PHP session ID (path traversal)│
    │  → Write session file to webroot              │
    │  → File contains PHP code (webshell)          │
    └──────────────────────────────────────────────┘
    │
    ▼
RCE as root via webshell

再現手順

1. 特定 脆弱な PAN-OS 管理インターフェイスを特定します(デフォルトではポート 443)。
2. CVE-2024-0012 — パス操作を使用して認証をバイパスする、内部エンドポイントへの巧妙に細工された HTTP リクエストを送信します。認証済みセッショントークンまたは API キーを受け取ります。
3. CVE-2024-9474 — そのトークンを使用して、../ トラバーサルを含む悪意のある X-PAN- または Cookie ベースのセッション ID をセッションハンドラエンドポイントに送信し、Web からアクセス可能な php/ ディレクトリに PHP ペイロードを書き込みます。
4. アクセス 書き込まれたウェブシェルに /php/<shell>.php でアクセスし、root として任意のコマンドを実行します。

PoC

両方の CVE を連鎖させる実証済みの概念実証は、このディレクトリ内の exploit.py を参照してください。

緩和策

1. アップグレード 影響を受けるバージョンの表に記載されている修正版に PAN-OS をアップグレードします。
2. 制限 管理インターフェイスを信頼できる内部 IP のみに制限します — インターネットに公開しないでください。
3. 管理インターフェイスを公開する必要がある場合は、専用の管理 VLAN または厳格な ACL を備えたジャンプボックスを使用します。

参照

• watchTowr — Operation Lunar Peek
• Palo Alto Networks セキュリティアドバイザリ — CVE-2024-0012
• Palo Alto Networks セキュリティアドバイザリ — CVE-2024-9474
• NVD — CVE-2024-0012
• NVD — CVE-2024-9474