nyligen en grupp forskare avslöjade en sårbarhet med en svårighetsgrad på 9,8 av 10, detta efter att de gett 1 års nåd innan de kommer att avslöja sådan information.
Ungefär 10,000 12 företagsservrar som använder Palo Alto Networks GlobalProtect VPN har visat sig vara sårbara för ett buffertspillfel som åtgärdades endast XNUMX månader efter upptäckten.
Sårbarheten som identifieras av CVE-2021-3064 A är 9,8 av 10 och Uppstår när indata från användaren skannas till en plats med fast längd på stapeln.
Ett proof of concept av den exploatering som utvecklats av forskare vid Randori visar den betydande skada som kan uppstå.
"Denna sårbarhet påverkar våra brandväggar som använder GlobalProtect VPN och tillåter fjärrexekvering av oautentiserad kod på sårbara installationer av produkten. CVE-2021-3064 påverkar olika versioner av PAN-OS 8.1 före 8.1.17 och vi hittade många sårbara instanser exponerade på tillgångar anslutna till Internet, mer än 10,000 XNUMX tillgångar, säger Randori.
Den oberoende utredaren Kevin Beaumont sa att Shodan-utredningen han genomförde tyder på det ungefär hälften av alla GlobalProtect-instanser som Shodan såg var sårbara.
Överflöde uppstår när programvara analyserar användarinmatning på en plats med fast längd på stacken.
Jag vet inte att du kan komma åt buggykoden externt utan att använda vad som kallas HTTP-smuggling, en exploateringsteknik som stör hur en webbplats bearbetar HTTP-förfrågningsströmmar.
Sårbarheterna uppstår när front-end och back-end av en webbplats tolkar gränserna för en HTTP-förfrågan annorlunda och felet avsynkroniserar dem. Exploateringen av dessa två element tillåter fjärrkörning av kod under privilegierna för den berörda komponenten på brandväggsenheten.
Nedan är de viktigaste resultaten av upptäckten och forskningen:
- Sårbarhetskedjan består av en metod för att kringgå externa webbservervalideringar (HTTP-smuggling) och stackbaserat buffertspill.
- Påverkar Palo Alto-brandväggar som använder PAN-OS 8.1-serien med GlobalProtect aktiverat (särskilt versioner <8.1.17).
- Att utnyttja kedjan av sårbarheter har visat sig möjliggöra fjärrkörning av kod i fysiska och virtuella brandväggsprodukter.
Nu det finns ingen allmänt tillgänglig exploateringskod.
Patchar finns tillgängliga från försäljaren.
PAN Threat Prevention-signaturer finns också tillgängliga (ID 91820 och 91855) för att blockera utnyttjandet av detta problem.
För att utnyttja denna sårbarhet, en angripare måste ha nätverksåtkomst till enheten på GlobalProtect-tjänstporten (port 443 som standard). Eftersom den berörda produkten är en VPN-portal är denna port ofta tillgänglig på Internet. På enheter med adressutrymmesrandomisering (ASLR) 70 aktiverad (vilket verkar vara fallet för de flesta enheter) är driften svår men möjlig.
På virtualiserade enheter (brandväggar i VM-serien) är operationen betydligt enklare på grund av bristen på ASLR och Randori förväntar sig att offentliga utnyttjande kommer att dyka upp.
Randori-forskarna utnyttjade inte buffertspillet för att resultera i kontrollerad kodexekvering på vissa versioner av MIPS-baserade CPU-hårdvaruenheter på hanteringsplan på grund av deras stora endian-arkitektur, även om överflödet är tillgängligt på dessa enheter. och kan användas för att begränsa tillgång till tjänster.
randori rekommenderar berörda organisationer att tillämpa de korrigeringar som tillhandahålls av PAN. Dessutom har PAN gjort tillgängliga signaturer som kan aktiveras för att motverka exploatering medan organisationer planerar att uppdatera mjukvara.
För organisationer som inte använder VPN-funktionen som en del av brandväggen rekommenderar vi att du inaktiverar GlobalProtect.
Slutligen, om du är intresserad av att veta mer om det, kan du konsultera detaljerna i följande länk.