CVE-2024-0012 / CVE-2024-9474 — PAN-OS 인증 우회 → 권한 상승 체인

이 취약점들을 연쇄적으로 사용하면 PAN-OS 관리 웹 인터페이스에서 인증되지 않은 원격 코드 실행이 가능해집니다.

두 취약점 모두 Operation Lunar Peek으로 추적되는 공격에서 야생에서 제로데이로 적극적으로 악용되었습니다. 해당 연구는 처음에 watchTowr에 의해 공개되었습니다.

개요

Palo Alto Networks PAN-OS 관리 웹 인터페이스에는 두 가지 치명적인 결함이 있으며, 이들이 결합되면 공격자가 인증 없이 완전한 루트 수준 액세스 권한을 얻을 수 있습니다:

1. CVE-2024-0012 — 인증되지 않은 원격 공격자가 인증 제어를 우회하고 인증된 엔드포인트에 도달할 수 있습니다.
2. CVE-2024-9474 — 인증된 후(낮은 권한의 사용자라도) PHP 세션 핸들러를 벗어나 임의 파일을 작성하고 루트로 권한을 상승시킬 수 있습니다.

기술적 세부 사항

CVE-2024-0012 — 인증 우회

관리 웹 인터페이스는 특정 API 및 PHP 엔드포인트에 대한 인증을 제대로 검증하지 않습니다. HTTP 요청 경로를 조작함으로써(예: 경로 탐색 또는 이중 슬래시 기법) 공격자는 일반적으로 유효한 세션이 필요한 제한된 핸들러에 도달할 수 있습니다. 이로 인해 사실상 PHPRESTAPI 및 기타 내부 엔드포인트에 대한 인증되지 않은 액세스가 허용됩니다.

근본 원인은 특정 URI 패턴에 대한 세션 검사를 적용하지 않는 Nginx/Apache 라우팅 규칙에 있으며, 이를 통해 요청이 인증 미들웨어를 우회할 수 있습니다.

CVE-2024-9474 — PHP 세션 쓰기를 통한 권한 상승

인증된 후(읽기 전용 또는 낮은 권한의 사용자라도) 이 취약점은 PHP 세션 직렬화 메커니즘에 존재합니다. session.save_path가 잘못 구성되어 있고 세션 파일 이름이 부분적으로 사용자에 의해 제어됩니다. 경로 탐색 시퀀스를 포함하는 세션 ID를 조작함으로써 공격자는 PHP 세션 파일을 임의의 위치(예: ../utils/webshell.php)에 쓸 수 있습니다.

웹 서버가 root로 실행되기 때문에 작성된 파일은 root 소유권을 상속받아 공격자에게 루트 수준의 웹셸을 제공합니다.

영향을 받는 버전

악용 체인

Attacker (unauthenticated)
    │
    ├─ CVE-2024-0012 ─────────────────────────────┐
    │  Bypass auth via crafted URI                  │
    │  → Gain access to PHPRESTAPI endpoint         │
    │  → Create a low-privilege API key / session   │
    └──────────────────────────────────────────────┘
    │
    ├─ CVE-2024-9474 ─────────────────────────────┐
    │  Use obtained session/key                     │
    │  → Send crafted PHP session ID (path traversal)│
    │  → Write session file to webroot              │
    │  → File contains PHP code (webshell)          │
    └──────────────────────────────────────────────┘
    │
    ▼
RCE as root via webshell

재현 단계

1. 식별 — 취약한 PAN-OS 관리 인터페이스를 식별합니다(기본적으로 포트 443).
2. CVE-2024-0012 — 인증을 우회하기 위해 경로 조작을 사용하여 내부 엔드포인트에 조작된 HTTP 요청을 보냅니다. 인증된 세션 토큰 또는 API 키를 받습니다.
3. CVE-2024-9474 — 해당 토큰을 사용하여 ../ 경로 탐색이 포함된 악의적인 X-PAN- 또는 쿠키 기반 세션 ID를 세션 핸들러 엔드포인트로 전송하여 웹에서 접근 가능한 php/ 디렉터리에 PHP 페이로드를 작성합니다.
4. 접근 — /php/<shell>.php에 작성된 웹셸에 접근하여 루트 권한으로 임의의 명령을 실행합니다.

PoC

이 디렉터리의 exploit.py에서 두 CVE를 연쇄적으로 사용하는 동작하는 개념 증명(PoC)을 확인하세요.

완화 조치

1. 업그레이드 — 영향받는 버전 표에 나열된 핫픽스 버전으로 PAN-OS를 업그레이드합니다.
2. 제한 — 관리 인터페이스를 신뢰할 수 있는 내부 IP로만 제한하고 인터넷에 절대 노출하지 마십시오.
3. 관리 인터페이스를 노출해야 한다면 전용 관리 VLAN 또는 엄격한 ACL이 있는 점프 박스를 사용하십시오.

참고 자료

• watchTowr — Operation Lunar Peek
• Palo Alto Networks 보안 권고 — CVE-2024-0012
• Palo Alto Networks 보안 권고 — CVE-2024-9474
• NVD — CVE-2024-0012
• NVD — CVE-2024-9474