Palo 防火墙0day漏洞 CVE-2024-0012 和 CVE-2024-9474 检测POC&EXP
内容提要
CVE-2024-0012是一个影响Palo Alto Networks PAN-OS的身份验证绕过漏洞。攻击者可通过设置HTTP请求头X-PAN-AUTHCHECK为off，绕过身份验证，获取管理员权限，可能导致未授权访问管理界面、配置篡改及其他安全风险。
关键要点
-
CVE-2024-0012是一个影响Palo Alto Networks PAN-OS的身份验证绕过漏洞。
-
攻击者可以通过设置HTTP请求头X-PAN-AUTHCHECK为off，绕过身份验证并获取管理员权限。
-
此漏洞可能导致未授权访问管理界面、配置篡改及其他安全风险。
-
Nginx配置中的变化导致身份验证标头未正确设置，允许攻击者利用proxypass声明。
-
通过提供X-PAN-AUTHCHECK为off的请求，攻击者可以关闭身份验证。
-
CVE-2024-9474是一个后续的权限提升漏洞，攻击者可以利用已获得的权限进行进一步攻击。
-
AuditLog.php文件中存在命令注入漏洞，允许用户传递包含shell元字符的用户名。
-
createRemoteAppwebSession.php文件允许用户创建PHP会话而无需有效的身份验证。
-
攻击者可以通过构造特定的HTTP请求来执行任意命令并获取PHP会话ID。
-
最终，攻击者可以利用这些漏洞在Palo Alto设备上执行任意代码。
延伸问答
CVE-2024-0012漏洞的主要影响是什么？
CVE-2024-0012漏洞允许攻击者绕过身份验证，获取管理员权限，可能导致未授权访问管理界面和配置篡改。
攻击者如何利用CVE-2024-0012漏洞？
攻击者通过设置HTTP请求头X-PAN-AUTHCHECK为off，绕过身份验证并获取管理员权限。
CVE-2024-9474漏洞与CVE-2024-0012有什么关系？
CVE-2024-9474是一个后续的权限提升漏洞，攻击者可以利用已获得的权限进行进一步攻击。
Nginx配置的变化如何导致CVE-2024-0012漏洞？
Nginx配置中的变化导致身份验证标头未正确设置，允许攻击者利用proxypass声明进行攻击。
AuditLog.php文件中的命令注入漏洞是如何产生的？
AuditLog.php文件允许用户传递包含shell元字符的用户名，从而导致命令注入漏洞。
如何检测Palo Alto设备是否受到CVE-2024-0012影响？
可以使用Nuclei模板检查主机是否受到CVE-2024-0012影响。
