Baru-baru ini sekumpulan penyelidik mendedahkan kelemahan dengan satu penilaian keterukan 9,8 daripada 10, ini selepas mereka memberikan 1 tahun rahmat sebelum mereka akan mendedahkan maklumat tersebut.
Kira-kira 10,000 pelayan korporat menggunakan Palo Alto Networks GlobalProtect VPN telah terbukti terdedah kepada pepijat limpahan penimbal yang telah diperbaiki hanya 12 bulan selepas penemuan.
Kerentanan yang dikenal pasti oleh CVE-2021-3064 A ialah 9,8 daripada 10 dan Berlaku apabila input yang dibekalkan pengguna diimbas ke lokasi panjang tetap pada tindanan.
Bukti konsep eksploitasi yang dibangunkan oleh penyelidik di Randori menunjukkan kerosakan besar yang boleh berlaku.
"Kerentanan ini menjejaskan tembok api kami menggunakan GlobalProtect VPN dan membenarkan pelaksanaan jauh kod tidak disahkan pada pemasangan produk yang terdedah. CVE-2021-3064 mempengaruhi pelbagai versi PAN-OS 8.1 sebelum 8.1.17 dan kami mendapati banyak kejadian terdedah terdedah pada aset yang disambungkan ke Internet, lebih daripada 10,000 aset, "kata Randori.
Penyiasat bebas Kevin Beaumont berkata siasatan Shodan yang dijalankannya menunjukkan perkara itu kira-kira separuh daripada semua kejadian GlobalProtect yang dilihat oleh Shodan adalah terdedah.
Limpahan berlaku apabila perisian menghuraikan input pengguna pada lokasi panjang tetap pada tindanan.
Saya tidak tahu anda boleh mengakses kod buggy secara luaran tanpa menggunakan apa yang dikenali sebagai penyeludupan HTTP, teknik eksploitasi yang mengganggu cara tapak web memproses strim permintaan HTTP.
Kerentanan muncul apabila bahagian hadapan dan bahagian belakang tapak web mentafsir had permintaan HTTP berbeza dan ralat menyahsegerakkannya. Eksploitasi kedua-dua elemen ini membolehkan pelaksanaan kod jauh di bawah keistimewaan komponen yang terjejas pada peranti tembok api.
Berikut adalah penemuan utama penemuan dan penyelidikan:
- Rantaian kelemahan terdiri daripada kaedah untuk memintas pengesahan pelayan web luaran (penyeludupan HTTP) dan limpahan penimbal berasaskan tindanan.
- Mempengaruhi tembok api Palo Alto menggunakan siri PAN-OS 8.1 dengan GlobalProtect didayakan (khususnya versi <8.1.17).
- Mengeksploitasi rantaian kelemahan telah ditunjukkan membenarkan pelaksanaan kod jauh dalam produk firewall fizikal dan maya.
Sekarang tiada kod eksploitasi yang tersedia secara terbuka.
Tampalan boleh didapati daripada vendor.
Tandatangan Pencegahan Ancaman PAN juga tersedia (ID 91820 dan 91855) untuk menghalang eksploitasi isu ini.
Untuk mengeksploitasi kelemahan ini, penyerang mesti mempunyai akses rangkaian kepada peranti pada port perkhidmatan GlobalProtect (port 443 secara lalai). Memandangkan produk yang terjejas ialah portal VPN, port ini selalunya boleh diakses di Internet. Pada peranti dengan rawak ruang alamat (ASLR) 70 didayakan (yang nampaknya berlaku untuk kebanyakan peranti), operasi adalah sukar tetapi mungkin.
Pada peranti maya (tembok api siri VM), operasi adalah lebih mudah kerana kekurangan ASLR dan Randori menjangkakan eksploitasi awam akan muncul.
Penyelidik Randori tidak mengeksploitasi limpahan penimbal untuk menghasilkan pelaksanaan kod terkawal pada versi tertentu peranti perkakasan CPU satah pengurusan berasaskan MIPS kerana seni bina endian besar mereka, walaupun limpahan itu boleh diakses pada peranti ini. dan boleh digunakan untuk mengehadkan ketersediaan perkhidmatan.
randori mengesyorkan organisasi yang terjejas menggunakan pembetulan yang disediakan oleh PAN. Selain itu, PAN telah menyediakan tandatangan yang boleh diaktifkan untuk menggagalkan eksploitasi sementara organisasi merancang untuk mengemas kini perisian.
Bagi organisasi yang tidak menggunakan ciri VPN sebagai sebahagian daripada tembok api, kami mengesyorkan agar GlobalProtect dilumpuhkan.
Akhir sekali, jika anda berminat untuk mengetahui lebih lanjut mengenainya, anda boleh merujuk butiran di dalam pautan seterusnya.