Palo Alto Networks披露PAN-OS防火墙“满分”漏洞细节
内容提要
Palo Alto Networks防火墙产品受到疑似国家支持的黑客攻击，漏洞被追踪为CVE-2024-3400，涉及PAN-OS 10.2、PAN-OS 11.0和PAN-OS 11.1防火墙版本软件中的两个缺陷。攻击者利用这些缺陷进行了两阶段的攻击，Palo Alto Networks已列出需要打补丁的PAN-OS防火墙系统版本。建议用户尽快修补漏洞，以防范潜在威胁。
延伸解读
漏洞组合利用的机制与风险
CVE-2024-3400由两个独立缺陷组成：GlobalProtect服务未充分验证会话ID格式，允许攻击者以任意文件名存储空文件；系统生成文件时又将文件名作为命令的一部分。单独看两者均不严重，但组合后攻击者可实现未经验证的远程shell命令执行。这种缺陷链提醒我们，安全评估需关注组件间的交互效应，而非孤立看待单个漏洞。
攻击活动Operation MidnightEclipse的特点
攻击者利用该漏洞发起了名为Operation MidnightEclipse的两阶段攻击。第一阶段向GlobalProtect发送特制shell命令而非有效会话ID，创建以命令为文件名的空文件；第二阶段通过定时系统作业以更高权限执行该命令。最终部署UPSTYLE后门。值得注意的是，攻击无需在设备上启用遥测功能即可渗透，这增加了检测难度。
受影响范围与修补紧迫性
Shadowserver数据显示约22542台暴露于互联网的防火墙可能受影响，主要分布在美国、日本、印度等国。CISA已将该漏洞列入已知利用漏洞目录，要求联邦机构在2024年4月19日前完成防护。鉴于漏洞正被积极滥用且PoC利用代码已公开，用户应尽快对照官方列表修补PAN-OS 10.2、11.0和11.1的指定版本。
Q&A
CVE-2024-3400漏洞的影响是什么？
CVE-2024-3400漏洞可能导致未经验证的远程shell命令执行，攻击者可以利用该漏洞进行两阶段攻击。
哪些版本的PAN-OS防火墙受到CVE-2024-3400漏洞影响？
受影响的版本包括PAN-OS 10.2、11.0和11.1的多个子版本，如10.2.9-h1、11.0.4-h2等。
Palo Alto Networks对该漏洞的建议是什么？
Palo Alto Networks建议用户尽快修补漏洞，以防范潜在威胁。
Operation MidnightEclipse攻击活动的特点是什么？
Operation MidnightEclipse是利用CVE-2024-3400漏洞进行的两阶段攻击，攻击者发送特制请求以执行命令。
CISA对CVE-2024-3400漏洞的态度是什么？
CISA已将CVE-2024-3400漏洞添加到已知利用漏洞目录中，要求联邦机构在2024年4月19日前保护其设备。
大约有多少台防火墙设备可能受到该漏洞攻击？
约有22542台暴露于互联网的防火墙设备可能容易受到该漏洞的攻击。
