De opdagede en sårbarhed, der påvirker mere end 10,000 vpn-servere  

nylig en gruppe forskere afslørede en sårbarhed med en sværhedsgrad på 9,8 ud af 10, dette efter at de har givet 1 års afdragsfrihed, før de vil afsløre nævnte oplysninger.

Det nævnes det cirka 10,000 virksomhedsservere at bruge den berørte VPN.

Cirka 10,000 virksomhedsservere, der bruger Palo Alto Networks GlobalProtect VPN, har vist sig at være sårbare over for en bufferoverløbsfejl, der blev rettet kun 12 måneder efter opdagelsen.

Sårbarheden identificeret af CVE-2021-3064 A er 9,8 ud af 10 og Opstår, når brugerleveret input scannes på et sted med fast længde på stakken.

Et proof of concept af udnyttelsen udviklet af Randori-forskere viser den betydelige skade, der kan opstå.

"Denne sårbarhed påvirker vores firewalls, der bruger GlobalProtect VPN og tillader uautoriseret fjernudførelse af kode i sårbare installationer af produktet. CVE-2021-3064 påvirker flere versioner af PAN-OS 8.1 før 8.1.17, og vi fandt mange sårbare tilfælde eksponeret på internetforbundne aktiver, mere end 10,000 aktiver,” sagde Randori..

Uafhængig forsker Kevin Beaumont sagde, at Shodan-forskningen, han udførte, indikerer det omkring halvdelen af ​​alle GlobalProtect-forekomster set af Shodan var sårbare.

Overløb opstår, når software parser brugerleverede data på en fast længde placering på stakken.

Du kan ikke få adgang til buggykoden eksternt uden at bruge det, der er kendt som HTTP-smugling, en udnyttelsesteknik, der forstyrrer den måde, et websted behandler HTTP-anmodningsstrømme på.

Sårbarheder vises, når front-end og back-end af et websted fortolker grænserne for en HTTP-anmodning anderledes, og fejlen kaster dem ud af synkronisering. Udnyttelse af disse to elementer tillader fjernudførelse af kode under rettighederne for den berørte komponent på firewallenheden.

Nedenfor er de vigtigste ting fra opdagelsen og undersøgelsen:

  • Sårbarhedskæden består af en metode til at omgå valideringer udført af en ekstern webserver (HTTP-smugling) og stakbaseret bufferoverløb.
  • Påvirker Palo Alto-firewalls, der bruger PAN-OS 8.1-serien med GlobalProtect aktiveret (specifikt versioner < 8.1.17).
  • Udnyttelse af sårbarhedskæden har vist sig at muliggøre fjernudførelse af kode i fysiske og virtuelle firewallprodukter.

Nu der er ingen offentlig tilgængelig udnyttelseskode.

Patches er tilgængelige gennem leverandøren.

PAN Threat Prevention-signaturer er også tilgængelige (ID 91820 og 91855) for at blokere udnyttelse af dette problem.

For at udnytte denne sårbarhed, en angriber skal have netværksadgang til enheden på GlobalProtect-serviceporten (port 443 som standard). Da det berørte produkt er en VPN-portal, er denne port ofte tilgængelig på internettet. På enheder med Address Space Randomization (ASLR) 70 aktiveret (hvilket ser ud til at være tilfældet på de fleste enheder), er betjeningen vanskelig, men mulig.

På virtualiserede enheder (VM-seriens firewalls) er driften væsentligt nemmere på grund af manglen på ASLR, og Randori forventer, at offentlige udnyttelser vil dukke op.

Randori-forskerne udnyttede ikke bufferoverløbet til at resultere i kontrolleret kodeudførelse på visse versioner af hardwareenheder med MIPS-baserede styringsplan-CPU'er på grund af deres store endian-arkitektur, selvom overløbet er tilgængeligt på disse enheder og kan bruges til at begrænse tilgængeligheden af ​​tjenester.

randori anbefaler, at berørte organisationer anvender rettelserne leveret af PAN. Derudover har PAN stillet signaturer til rådighed, der kan aktiveres for at forhindre udnyttelse, da organisationer planlægger at opdatere software.

For organisationer, der ikke bruger VPN-funktionen som en del af firewallen, anbefaler vi at deaktivere GlobalProtect.

Endelig, hvis du er interesseret i at vide mere om det, kan du konsultere detaljerne i næste link.


Vær den første til at kommentere

Efterlad din kommentar

Din e-mailadresse vil ikke blive offentliggjort. Obligatoriske felter er markeret med *

*

*

  1. Ansvarlig for dataene: Miguel Ángel Gatón
  2. Formålet med dataene: Control SPAM, management af kommentarer.
  3. Legitimering: Dit samtykke
  4. Kommunikation af dataene: Dataene vil ikke blive kommunikeret til tredjemand, undtagen ved juridisk forpligtelse.
  5. Datalagring: Database hostet af Occentus Networks (EU)
  6. Rettigheder: Du kan til enhver tid begrænse, gendanne og slette dine oplysninger.