Il 12 aprile Palo Alto Networks ha avvisato i clienti di una vulnerabilità di gravità 10 su 10 nei suoi firewall. La CVE-2024-3400 sta in GlobalProtect, la VPN integrata in PAN-OS, e permette a un attaccante senza credenziali di eseguire codice con privilegi di root sul firewall.
A scoprirla è stata un’azienda di sicurezza che il 10 aprile ha notato traffico sospetto in uscita dal firewall di un cliente. Il dispositivo era compromesso: l’attaccante aveva aperto una shell inversa, scaricato altri strumenti e provato a installare una backdoor in Python che esegue comandi nascosti nelle richieste web. Poi dal firewall si era spostato nella rete interna. Le prime tracce di tentativi di sfruttamento risalgono al 26 marzo. Il gruppo responsabile, probabilmente sostenuto da uno Stato, non è stato ancora identificato.
Sono vulnerabili i firewall con PAN-OS 10.2, 11.0 e 11.1 su cui è configurato un gateway o un portale GlobalProtect. Non sono coinvolti i servizi cloud, Panorama e le versioni precedenti. Le prime correzioni sono uscite tra il 14 e il 15 aprile, la 10.2.9-h1, la 11.0.4-h1 e la 11.1.2-h3, e altri hotfix per le versioni di manutenzione più diffuse arriveranno nei prossimi giorni.
La mitigazione che non mitigava
All’inizio Palo Alto aveva indicato che disattivare la telemetria del dispositivo bastasse a proteggersi. Chi l’ha fatto ed è andato a dormire tranquillo deve ricredersi: l’indicazione è stata ritirata, perché la telemetria non è necessaria per lo sfruttamento. Le mitigazioni valide restano l’aggiornamento oppure, per chi ha un abbonamento Threat Prevention, la firma specifica.
Installa subito l’hotfix per la tua versione. Se devi aspettare, attiva la firma con Threat ID 95187 e applica il profilo di protezione all’interfaccia GlobalProtect. Poi cerca nei log richieste anomale verso GlobalProtect, file creati in posizioni insolite e connessioni in uscita inattese. Se trovi segni di compromissione, contatta il supporto, valuta il ripristino completo e cambia tutte le credenziali presenti sul firewall, comprese quelle usate per l’integrazione con Active Directory.
E guarda cosa può raggiungere il firewall dentro la tua rete. In questo caso l’attaccante è passato dal perimetro ai server interni senza trovare ostacoli: un apparato perimetrale non dovrebbe avere accesso libero a tutto.
