äskettäin ryhmä tutkijoita paljasti haavoittuvuuden yksi vakavuusluokitus 9,8/10, tämä sen jälkeen, kun he ovat antaneet 1 vuoden lisäajan ennen kuin he paljastavat tällaiset tiedot.
Noin 10,000 12 Palo Alto Networksin GlobalProtect VPN:ää käyttävän yrityspalvelimen on osoitettu olevan alttiina puskurin ylivuotovirheelle, joka korjattiin vain XNUMX kuukautta havaitsemisen jälkeen.
CVE-2021-3064 A:n tunnistama haavoittuvuus on 9,8/10 ja Ilmenee, kun käyttäjän toimittama syöte skannataan kiinteän pituiseen paikkaan pinossa.
Randorin tutkijoiden kehittämä todiste hyväksikäytön konseptista osoittaa, kuinka suuri vahinko voi olla seurauksena.
"Tämä haavoittuvuus vaikuttaa GlobalProtect VPN:ää käyttäviin palomuureihimme ja mahdollistaa todentamattoman koodin etäsuorittamisen tuotteen haavoittuvissa asennuksissa. CVE-2021-3064 vaikuttaa useisiin PAN-OS 8.1:n versioihin ennen versiota 8.1.17, ja löysimme monia haavoittuvia tapauksia Internetiin liitetyistä resursseista, yli 10,000 XNUMX omaisuutta”, Randori sanoi..
Riippumaton tutkija Kevin Beaumont sanoi, että hänen suorittamansa Shodan-tutkinta osoittaa tämän noin puolet kaikista Shodanin näkemistä GlobalProtect-tapauksista oli haavoittuvia.
Ylivuoto tapahtuu, kun ohjelmisto jäsentää käyttäjän syötteen kiinteän pituisessa paikassa pinossa.
En tiedä, voitko käyttää bugista koodia ulkoisesti ilman niin kutsuttua HTTP-salakuljetusta, hyväksikäyttötekniikkaa, joka häiritsee tapaa, jolla verkkosivusto käsittelee HTTP-pyyntövirtoja.
Haavoittuvuudet näkyvät, kun verkkosivuston käyttöliittymä ja taustaosa tulkitsevat HTTP-pyynnön rajoituksia eri tavalla ja virhe disynkronisoi ne. Näiden kahden elementin hyödyntäminen mahdollistaa koodin etäsuorittamisen palomuurilaitteessa olevan komponentin oikeuksilla.
Alla ovat tärkeimmät löydön ja tutkimuksen tulokset:
- Haavoittuvuusketju koostuu menetelmästä kiertää ulkoisen verkkopalvelimen vahvistukset (HTTP-salakuljetus) ja pinopohjaisen puskurin ylivuodon.
- Vaikuttaa Palo Alton palomuuriin, joissa on PAN-OS 8.1 -sarja ja GlobalProtect on käytössä (erityisesti versiot <8.1.17).
- Haavoittuvuuksien ketjun hyödyntämisen on osoitettu mahdollistavan koodin etäsuorittamisen fyysisissä ja virtuaalisissa palomuurituotteissa.
Nyt ei ole julkisesti saatavilla olevaa hyväksikäyttökoodia.
Korjauksia on saatavana myyjältä.
Saatavilla on myös PAN Threat Prevention -allekirjoituksia (ID 91820 ja 91855) estääksesi tämän ongelman hyödyntämisen.
Voit hyödyntää tätä haavoittuvuutta hyökkääjällä on oltava verkkoyhteys laitteeseen GlobalProtect-palveluportissa (portti 443 oletuksena). Koska tuote on VPN-portaali, tämä portti on usein käytettävissä Internetissä. Laitteissa, joissa osoitetilan satunnaistaminen (ASLR) 70 on käytössä (mikä näyttää olevan tilanne useimmissa laitteissa), käyttö on vaikeaa, mutta mahdollista.
Virtualisoiduilla laitteilla (VM-sarjan palomuurit) toiminta on huomattavasti helpompaa ASLR:n puutteen vuoksi ja Randori odottaa julkisten hyväksikäyttöjen syntyvän.
Randori-tutkijat eivät käyttäneet puskurin ylivuotoa johtamaan kontrolloituun koodin suorittamiseen tietyissä MIPS-pohjaisten hallintatason CPU-laitteistojen versioissa niiden suuren arkkitehtuurin vuoksi, vaikka ylivuoto on käytettävissä näissä laitteissa. ja sitä voidaan käyttää rajoittamaan palvelujen saatavuus.
randori suosittelee organisaatioita, joita asia koskee, ottamaan käyttöön PAN:n tarjoamat korjaukset. Lisäksi PAN on asettanut saataville allekirjoituksia, jotka voidaan aktivoida hyväksikäytön estämiseksi, kun organisaatiot suunnittelevat ohjelmistopäivitystä.
Organisaatioille, jotka eivät käytä VPN-ominaisuutta palomuurin osana, suosittelemme GlobalProtectin poistamista käytöstä.
Lopuksi, jos olet kiinnostunut tietämään siitä lisää, voit tutustua yksityiskohtiin osoitteessa seuraava linkki.