CVE-2024-0012 / CVE-2024-9474 — Обход аутентификации PAN-OS → цепочка повышения привилегий

При объединении эти уязвимости позволяют неаутентифицированное удалённое выполнение кода в веб-интерфейсе управления PAN-OS.

Обе были активно эксплуатированы как 0-day в реальных атаках в рамках кампании, отслеживаемой как Operation Lunar Peek. Исследование первоначально было раскрыто watchTowr.

Обзор

Веб-интерфейс управления Palo Alto Networks PAN-OS подвержен двум критическим недостаткам, которые в сочетании дают атакующему полный доступ уровня root без какой-либо аутентификации:

1. CVE-2024-0012 — Обход механизмов аутентификации и доступ к защищённым конечным точкам в качестве неаутентифицированного удалённого атакующего.
2. CVE-2024-9474 — После аутентификации (даже в качестве пользователя с низкими привилегиями) обойти обработчик PHP-сессий для записи произвольных файлов и повышения привилегий до root.

Технические подробности

CVE-2024-0012 — Обход аутентификации

Веб-интерфейс управления некорректно проверяет аутентификацию для определённых API и PHP конечных точек. Манипулируя путями HTTP-запросов (например, с помощью обхода пути или техник с двойным слешем), атакующий может получить доступ к ограниченным обработчикам, которые обычно требуют действительную сессию. Это фактически предоставляет неаутентифицированный доступ к PHPRESTAPI и другим внутренним конечным точкам.

Корневая причина кроется в правилах маршрутизации Nginx/Apache, которые не применяют проверку сессий к определённым шаблонам URI, позволяя запросам обходить промежуточный слой аутентификации.

CVE-2024-9474 — Повышение привилегий через запись PHP-сессии

После аутентификации (даже в качестве пользователя с правами только на чтение или низкими привилегиями) уязвимость существует в механизме сериализации PHP-сессий. Параметр session.save_path настроен некорректно, а имя файла сессии частично контролируется пользователем. Создавая идентификатор сессии, содержащий последовательности обхода пути, атакующий может записать файл PHP-сессии в произвольное место (например, ../utils/webshell.php).

Поскольку веб-сервер работает от имени root, записанный файл получает владельца root, что даёт атакующему веб-шелл уровня root.

Затронутые версии

Цепочка эксплуатации

Attacker (unauthenticated)
    │
    ├─ CVE-2024-0012 ─────────────────────────────┐
    │  Bypass auth via crafted URI                  │
    │  → Gain access to PHPRESTAPI endpoint         │
    │  → Create a low-privilege API key / session   │
    └──────────────────────────────────────────────┘
    │
    ├─ CVE-2024-9474 ─────────────────────────────┐
    │  Use obtained session/key                     │
    │  → Send crafted PHP session ID (path traversal)│
    │  → Write session file to webroot              │
    │  → File contains PHP code (webshell)          │
    └──────────────────────────────────────────────┘
    │
    ▼
RCE as root via webshell

Шаги воспроизведения

1. Определите уязвимый интерфейс управления PAN-OS (по умолчанию порт 443).
2. CVE-2024-0012 — Отправьте специально сформированный HTTP-запрос к внутренней конечной точке, используя манипуляцию путём для обхода аутентификации. Получите аутентифицированный токен сессии или API-ключ.
3. CVE-2024-9474 — Имея токен, отправьте запрос к конечной точке обработчика сессий с вредоносным идентификатором сессии X-PAN- или на основе cookie, содержащим обход ../, чтобы записать PHP-полезную нагрузку в доступный через веб каталог php/.
4. Обратитесь к записанному веб-шеллу по адресу /php/<shell>.php, чтобы выполнять произвольные команды от имени root.

PoC

Рабочий proof-of-concept, объединяющий обе CVE, см. в файле exploit.py в этом каталоге.

Меры по смягчению последствий

1. Обновите PAN-OS до версий с исправлениями, перечисленных в таблице затронутых версий.
2. Ограничьте интерфейс управления только доверенными внутренними IP-адресами — никогда не открывайте его в интернет.
3. Если интерфейс управления должен быть доступен извне, используйте выделенную управляющую VLAN или jump-хост со строгими ACL.

Ссылки

• watchTowr — Operation Lunar Peek
• Palo Alto Networks Security Advisory — CVE-2024-0012
• Palo Alto Networks Security Advisory — CVE-2024-9474
• NVD — CVE-2024-0012
• NVD — CVE-2024-9474