Ostatnio grupa badaczy ujawniła lukę z ocena dotkliwości 9,8 na 10, to po udzieleniu 1 roku karencji przed ujawnieniem takich informacji.
Wykazano, że około 10,000 12 serwerów korporacyjnych korzystających z Palo Alto Networks GlobalProtect VPN jest podatnych na błąd przepełnienia bufora, który został naprawiony zaledwie XNUMX miesięcy po wykryciu.
Luka zidentyfikowana przez CVE-2021-3064 A to 9,8 na 10 i Występuje, gdy dane wejściowe dostarczone przez użytkownika są skanowane do lokalizacji o stałej długości na stosie.
Dowód koncepcji exploita opracowany przez badaczy z Randori pokazuje, jakie szkody może to spowodować.
"Ta luka dotyczy naszych zapór sieciowych korzystających z GlobalProtect VPN i umożliwia zdalne wykonanie nieuwierzytelnionego kodu w wrażliwych instalacjach produktu. CVE-2021-3064 wpływa na różne wersje PAN-OS 8.1 przed 8.1.17 i znaleźliśmy wiele podatnych na ataki instancji ujawnionych w zasobach podłączonych do Internetu, ponad 10,000 XNUMX zasobów ”- powiedział Randori.
Niezależny śledczy Kevin Beaumont powiedział, że przeprowadzone przez niego śledztwo w sprawie Shodan wskazuje, że… około połowa wszystkich instancji GlobalProtect zaobserwowanych przez Shodan była podatna na ataki.
Przepełnienie występuje, gdy oprogramowanie analizuje dane wejściowe użytkownika w lokalizacji o stałej długości na stosie.
Nie wiem, czy możesz uzyskać dostęp do kodu z błędami z zewnątrz bez użycia tak zwanego przemytu HTTP, techniki exploitów, która ingeruje w sposób, w jaki witryna przetwarza strumienie żądań HTTP.
Luki pojawiają się, gdy front-end i back-end strony internetowej interpretują ograniczenia żądania HTTP inaczej, a błąd je desynchronizuje. Wykorzystanie tych dwóch elementów umożliwia zdalne wykonanie kodu z uprawnieniami składnika, którego dotyczy problem, na urządzeniu zapory.
Poniżej znajdują się główne ustalenia odkrycia i badań:
- Łańcuch podatności składa się z metody obejścia walidacji zewnętrznego serwera WWW (przemytu HTTP) oraz przepełnienia bufora opartego na stosie.
- Wpływa na zapory Palo Alto korzystające z serii PAN-OS 8.1 z włączoną funkcją GlobalProtect (w szczególności wersje <8.1.17).
- Wykazano, że wykorzystanie łańcucha luk w zabezpieczeniach umożliwia zdalne wykonanie kodu w fizycznych i wirtualnych produktach zapory.
Teraz nie ma publicznie dostępnego kodu exploita.
Poprawki są dostępne u dostawcy.
Dostępne są również sygnatury PAN Threat Prevention (ID 91820 i 91855), aby zablokować wykorzystywanie tego problemu.
Aby wykorzystać tę lukę, osoba atakująca musi mieć dostęp sieciowy do urządzenia na porcie usługi GlobalProtect (port 443 domyślnie). Ponieważ produktem, którego dotyczy problem, jest portal VPN, port ten jest często dostępny w Internecie. Na urządzeniach z włączoną randomizacją przestrzeni adresowej (ASLR) 70 (co wydaje się mieć miejsce w przypadku większości urządzeń) obsługa jest trudna, ale możliwa.
Na urządzeniach zwirtualizowanych (zapory sieciowe serii VM) operacja jest znacznie łatwiejsza ze względu na brak ASLR, a Randori spodziewa się pojawienia publicznych exploitów.
Badacze z Randori nie wykorzystali przepełnienia bufora do kontrolowanego wykonywania kodu na niektórych wersjach sprzętowych urządzeń CPU płaszczyzny zarządzania opartych na MIPS ze względu na ich architekturę big endian, chociaż przepełnienie jest dostępne na tych urządzeniach i może być wykorzystane do ograniczenia dostępność usług.
Randori zaleca organizacjom, których to dotyczy, zastosowanie poprawek dostarczonych przez PAN. Ponadto PAN udostępniła sygnatury, które można aktywować, aby udaremnić eksploatację, podczas gdy organizacje planują aktualizację oprogramowania.
W przypadku organizacji, które nie korzystają z funkcji VPN jako części zapory, zalecamy wyłączenie GlobalProtect.
Wreszcie, jeśli chcesz dowiedzieć się więcej na ten temat, możesz zapoznać się ze szczegółami w Link.