CVE-2024-0012 / CVE-2024-9474 — PAN-OS 身份验证绕过 → 权限提升链

当串联利用时，这些漏洞允许在 PAN-OS 管理 Web 接口上实现未经认证的远程代码执行。

两者均在野外被积极利用为零日漏洞，跟踪为 Operation Lunar Peek。该研究最初由 watchTowr 披露。

概述

Palo Alto Networks PAN-OS 管理 Web 接口暴露了两个关键缺陷，组合利用可使攻击者在无需任何身份验证的情况下获得完全 root 权限：

1. CVE-2024-0012 — 绕过身份验证控制，以未经认证的远程攻击者身份访问需要认证的端点。
2. CVE-2024-9474 — 一旦通过身份验证（即使作为低权限用户），可逃逸 PHP 会话处理器，写入任意文件并提升至 root。

技术细节

CVE-2024-0012 — 身份验证绕过

管理 Web 接口对某些 API 和 PHP 端点的身份验证验证不当。通过操作 HTTP 请求路径（例如路径遍历或双斜杠技术），攻击者可访问通常需要有效会话的受限处理器。这有效地为 PHPRESTAPI 和其他内部端点授予了未经认证的访问权限。

根本原因在于 Nginx/Apache 路由规则未能对特定 URI 模式强制执行会话检查，允许请求绕过身份验证中间件。

CVE-2024-9474 — 通过 PHP 会话写入实现权限提升

一旦通过身份验证（即使作为只读或低权限用户），漏洞存在于 PHP 会话序列化机制中。session.save_path 配置错误，且会话文件名部分由用户控制。通过构造包含路径遍历序列的会话 ID，攻击者可以将 PHP 会话文件写入任意位置（例如 ../utils/webshell.php）。

由于 Web 服务器以 root 身份运行，写入的文件继承 root 所有权，从而为攻击者提供 root 级别的 Web shell。

受影响版本

利用链

攻击者（未经认证）
    │
    ├─ CVE-2024-0012 ─────────────────────────────┐
    │  通过构造 URI 绕过身份验证                    │
    │  → 获取对 PHPRESTAPI 端点的访问权限           │
    │  → 创建低权限 API 密钥/会话                   │
    └──────────────────────────────────────────────┘
    │
    ├─ CVE-2024-9474 ─────────────────────────────┐
    │  使用获得的会话/密钥                          │
    │  → 发送构造的 PHP 会话 ID（路径遍历）         │
    │  → 将会话文件写入 Web 根目录                  │
    │  → 文件包含 PHP 代码（Web shell）             │
    └──────────────────────────────────────────────┘
    │
    ▼
通过 Web shell 以 root 身份执行远程代码

复现步骤

1. 识别存在漏洞的 PAN-OS 管理接口（默认端口 443）。
2. CVE-2024-0012 — 通过路径操作向内部端点发送构造的 HTTP 请求以绕过身份验证。接收经过身份验证的会话令牌或 API 密钥。
3. CVE-2024-9474 — 使用该令牌，向会话处理器端点发送包含恶意 X-PAN- 或基于 cookie 的会话 ID（包含 ../ 遍历）的请求，将 PHP 负载写入 Web 可访问的 php/ 目录。
4. 访问写入的 Web shell /php/<shell>.php 以 root 身份执行任意命令。

PoC

参见本目录中的 exploit.py 文件，其中包含串联利用两个 CVE 的工作概念验证程序。

缓解措施

1. 升级 PAN-OS 至受影响版本表中列出的热修复版本。
2. 限制管理接口仅允许受信任的内部 IP 访问——切勿将其暴露在互联网上。
3. 如果必须暴露管理接口，请使用专用管理 VLAN 或带严格 ACL 的跳板机。

参考

• watchTowr — Operation Lunar Peek
• Palo Alto Networks 安全公告 — CVE-2024-0012
• Palo Alto Networks 安全公告 — CVE-2024-9474
• NVD — CVE-2024-0012
• NVD — CVE-2024-9474