L’8 novembre Palo Alto Networks aveva invitato i clienti a proteggere l’interfaccia web di gestione dei firewall per una possibile vulnerabilità, senza dire altro. Il 18 novembre ha confermato due falle sfruttate attivamente e pubblicato le correzioni. Nei giorni successivi gli attacchi sono diventati di massa.
La prima, la CVE-2024-0012 con gravità 9,3, è un bypass dell’autenticazione: chi raggiunge l’interfaccia di gestione ottiene i privilegi di amministratore senza credenziali. La seconda, la CVE-2024-9474, è un’escalation di privilegi che permette a un amministratore di eseguire comandi come root. Insieme danno il controllo completo del firewall. Dopo l’uscita delle correzioni alcuni ricercatori hanno mostrato che per il bypass basta un’intestazione HTTP costruita ad arte, e poco dopo sono comparsi exploit pubblici. Palo Alto ha battezzato la campagna Operation Lunar Peek.
Sono vulnerabili i firewall con PAN-OS 10.2, 11.0, 11.1 e 11.2 la cui interfaccia di gestione è raggiungibile dalla rete dell’attaccante. Le versioni corrette sono la 10.2.12-h2, la 11.0.6-h1, la 11.1.5-h1 e la 11.2.4-h1, o successive. Secondo le scansioni, i firewall compromessi sono già circa 2.000, e gli attaccanti installano web shell e altri strumenti. Chi siano, non è stato detto.
Un consiglio ripetuto da anni
Palo Alto, come tutti i produttori, raccomanda da sempre di non esporre l’interfaccia di gestione su Internet. Lo scrive nelle guide, lo ripete negli avvisi. Eppure migliaia di firewall la espongono, spesso per comodità di qualcuno che deve gestirli da fuori. È la stessa lezione che il 2024 ha impartito più volte, con Ivanti, Fortinet, Cisco e la stessa Palo Alto ad aprile: il dispositivo che dovrebbe proteggere la rete diventa la sua porta d’ingresso.
Aggiorna PAN-OS a una versione corretta. Poi, anche ad aggiornamento fatto, limita l’accesso all’interfaccia di gestione a pochi indirizzi IP interni fidati: la prossima falla in quell’interfaccia arriverà, e a quel punto non ti riguarderà. Controlla i log alla ricerca di accessi amministrativi anomali, file PHP sconosciuti e processi inattesi.
Se trovi segni di compromissione, contatta il supporto, ripristina il dispositivo e cambia tutte le credenziali e le chiavi presenti sul firewall. E se gestire il firewall da remoto ti serve davvero, fallo passare da una VPN o da una rete di gestione dedicata, non da Internet.
