CVE-2024-0012 / CVE-2024-9474 — Bypass de Autenticação no PAN-OS → Cadeia de Escalação de Privilégios

Quando encadeadas, essas vulnerabilidades permitem execução remota de código sem autenticação na interface web de gerenciamento do PAN-OS.

Ambas foram ativamente exploradas como zero-days na natureza, no que foi rastreado como Operação Lunar Peek. A pesquisa foi inicialmente divulgada pela watchTowr.

Visão Geral

A interface web de gerenciamento do PAN-OS da Palo Alto Networks está exposta a duas falhas críticas que, quando combinadas, concedem a um atacante acesso total em nível de root sem qualquer autenticação:

1. CVE-2024-0012 — Contorna os controles de autenticação e alcança endpoints autenticados como um atacante remoto não autenticado.
2. CVE-2024-9474 — Uma vez autenticado (mesmo como usuário de baixo privilégio), escapa do manipulador de sessão PHP para gravar arquivos arbitrários e escalar para root.

Detalhes Técnicos

CVE-2024-0012 — Bypass de Autenticação

A interface web de gerenciamento valida incorretamente a autenticação para determinados endpoints de API e PHP. Ao manipular caminhos de requisições HTTP (por exemplo, técnicas de path traversal ou barra dupla), um atacante pode alcançar manipuladores restritos que normalmente exigem uma sessão válida. Isso efetivamente concede acesso não autenticado à PHPRESTAPI e a outros endpoints internos.

A causa raiz está nas regras de roteamento do Nginx/Apache, que não aplicam verificações de sessão em padrões de URI específicos, permitindo que requisições contornem o middleware de autenticação.

CVE-2024-9474 — Escalação de Privilégios via Gravação de Sessão PHP

Uma vez autenticado (mesmo como usuário somente leitura ou de baixo privilégio), a vulnerabilidade existe no mecanismo de serialização de sessão PHP. O session.save_path está mal configurado, e o nome do arquivo de sessão é parcialmente controlado pelo usuário. Ao criar um ID de sessão contendo sequências de path traversal, um atacante pode gravar um arquivo de sessão PHP em um local arbitrário (ex.: ../utils/webshell.php).

Como o servidor web é executado como root, o arquivo gravado herda a propriedade de root, dando ao atacante um webshell em nível de root.

Versões Afetadas

Cadeia de Exploração

Attacker (unauthenticated)
    │
    ├─ CVE-2024-0012 ─────────────────────────────┐
    │  Bypass auth via crafted URI                  │
    │  → Gain access to PHPRESTAPI endpoint         │
    │  → Create a low-privilege API key / session   │
    └──────────────────────────────────────────────┘
    │
    ├─ CVE-2024-9474 ─────────────────────────────┐
    │  Use obtained session/key                     │
    │  → Send crafted PHP session ID (path traversal)│
    │  → Write session file to webroot              │
    │  → File contains PHP code (webshell)          │
    └──────────────────────────────────────────────┘
    │
    ▼
RCE as root via webshell

Etapas de Reprodução

1. Identifique uma interface de gerenciamento (mgmt) do PAN-OS vulnerável (porta 443 por padrão).
2. CVE-2024-0012 — Envie uma requisição HTTP forjada para um endpoint interno usando manipulação de caminho para contornar a autenticação. Receba um token de sessão autenticado ou uma chave de API.
3. CVE-2024-9474 — Com o token, envie uma requisição para o endpoint do manipulador de sessão com um ID de sessão malicioso X-PAN- ou baseado em cookie contendo travessia ../ para gravar um payload PHP no diretório php/ acessível pela web.
4. Acesse o webshell gravado em /php/<shell>.php para executar comandos arbitrários como root.

PoC

Consulte exploit.py neste diretório para uma prova de conceito funcional que encadeia ambos os CVEs.

Mitigação

1. Atualize o PAN-OS para as versões de hotfix listadas na tabela de versões afetadas.
2. Restrinja a interface de gerenciamento apenas a IPs internos confiáveis — nunca a exponha à internet.
3. Se a interface de gerenciamento (mgmt) precisar ser exposta, use uma VLAN de gerenciamento dedicada ou um jump-box com ACLs rígidas.

Referências

• watchTowr — Operação Lunar Peek
• Advisory de Segurança da Palo Alto Networks — CVE-2024-0012
• Advisory de Segurança da Palo Alto Networks — CVE-2024-9474
• NVD — CVE-2024-0012
• NVD — CVE-2024-9474