nedavno skupina istraživača otkrila je ranjivost s jednim ocjena ozbiljnosti 9,8 od 10, ovo nakon što daju 1 godinu odgode prije nego što otkriju takve informacije.
Pokazalo se da je približno 10,000 12 korporativnih poslužitelja koji koriste Palo Alto Networks GlobalProtect VPN ranjivo na bug prekoračenja međuspremnika koji je ispravljen samo XNUMX mjeseci nakon otkrića.
Ranjivost koju identificira CVE-2021-3064 A je 9,8 od 10 i Pojavljuje se kada se unos koji je dostavio korisnik skenira na mjesto fiksne duljine na hrpi.
Dokaz koncepta eksploatacije koji su razvili istraživači u Randoriju pokazuje znatnu štetu koja može rezultirati.
"Ova ranjivost utječe na naše vatrozide koji koriste GlobalProtect VPN i omogućuje daljinsko izvršavanje neovlaštenog koda na ranjivim instalacijama proizvoda. CVE-2021-3064 utječe na različite verzije PAN-OS-a 8.1 prije 8.1.17 i otkrili smo mnoge ranjive instance izložene na imovini spojenoj na internet, više od 10,000 sredstava”, rekao je Randori.
Nezavisni istražitelj Kevin Beaumont rekao je da istraga Shodana koju je vodio ukazuje na to otprilike polovica svih GlobalProtect instanci koje je vidio Shodan bila je ranjiva.
Prelijevanje se događa kada softver analizira korisnički unos na mjestu fiksne duljine na stogu.
Ne znam da možete pristupiti buggy kodu izvana bez korištenja onoga što je poznato kao krijumčarenje HTTP-a, tehnike iskorištavanja koja ometa način na koji web stranica obrađuje streamove HTTP zahtjeva.
Ranjivosti se pojavljuju kada front-end i back-end web-mjesta tumače ograničenja HTTP zahtjeva drugačije i pogreška ih desinhronizira. Iskorištavanje ova dva elementa omogućuje daljinsko izvršavanje koda pod privilegijama zahvaćene komponente na uređaju vatrozida.
Ispod su glavni nalazi otkrića i istraživanja:
- Lanac ranjivosti sastoji se od metode zaobilaženja validacije vanjskih web poslužitelja (krijumčarenje HTTP-a) i prekoračenja međuspremnika temeljenog na stogu.
- Utječe na vatrozide Palo Alto koji koriste PAN-OS 8.1 seriju s omogućenim GlobalProtect (posebno verzije <8.1.17).
- Pokazalo se da iskorištavanje lanca ranjivosti omogućuje daljinsko izvršavanje koda u fizičkim i virtualnim proizvodima vatrozida.
Sada ne postoji javno dostupan exploit kod.
Zakrpe su dostupne kod dobavljača.
Dostupni su i potpisi PAN Threat Prevention (ID 91820 i 91855) za blokiranje iskorištavanja ovog problema.
Da biste iskoristili ovu ranjivost, napadač mora imati mrežni pristup uređaju na portu usluge GlobalProtect (port 443 prema zadanim postavkama). Budući da je zahvaćeni proizvod VPN portal, ovaj port je često dostupan na Internetu. Na uređajima s omogućenom randomizacijom adresnog prostora (ASLR) 70 (što se čini za većinu uređaja), rad je težak, ali moguć.
Na virtualiziranim uređajima (vatrozidi serije VM) operacija je znatno lakša zbog nedostatka ASLR-a i Randori očekuje pojavu javnih eksploatacija.
Randorijevi istraživači nisu iskoristili prelijevanje međuspremnika kako bi rezultirali kontroliranim izvršavanjem koda na određenim verzijama CPU hardverskih uređaja na upravljačkoj ravnini temeljenoj na MIPS-u zbog njihove velike endian arhitekture, iako je prekoračenje dostupno na tim uređajima. i može se koristiti za ograničavanje dostupnost usluga.
randori preporučuje pogođenim organizacijama da primjene popravke koje pruža PAN. Osim toga, PAN je stavio na raspolaganje potpise koji se mogu aktivirati kako bi se spriječilo iskorištavanje dok organizacije planiraju ažurirati softver.
Za organizacije koje ne koriste VPN značajku kao dio vatrozida, preporučujemo da onemogućite GlobalProtect.
Konačno, ako ste zainteresirani za više informacija o tome, možete pogledati detalje u sljedeći link.