Trusted Design

CVE-2024-3400 の詳細

CVEの情報

説明:
A command injection as a result of arbitrary file creation vulnerability in the GlobalProtect feature of Palo Alto Networks PAN-OS software for specific PAN-OS versions and distinct feature configurations may enable an unauthenticated attacker to execute arbitrary code with root privileges on the firewall. Cloud NGFW, Panorama appliances, and Prisma Access are not impacted by this vulnerability.

CVE更新日: 2024-04-12 08:15:06.230000

CVSSバージョン: 3.1

CVSSスコア: 10.0

KEVの情報

KEV更新日: 2024-04-12

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.999990000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2024-3400は、Palo Alto Networks社のPAN-OSソフトウェアに存在する、GlobalProtect機能における重大な脆弱性です。以下に各観点から解説します。

1. 脆弱性の概要

CVE-2024-3400は、Palo Alto Networks PAN-OSソフトウェアのGlobalProtect機能に存在する、任意のファイル作成に起因するコマンドインジェクションの脆弱性です。この脆弱性を悪用することで、認証されていない攻撃者がファイアウォール上でroot権限で任意のコードを実行する可能性があります。

この脆弱性はゼロデイ脆弱性として、既に実環境での悪用が確認されていました。

1.1 影響

  • 認証されていない遠隔の第三者によるroot権限での任意のコード実行。
  • 攻撃者は、侵害されたネットワーク内で追加ツールのダウンロード、設定情報の抽出、ラテラルムーブメント（横方向への移動）を行う可能性があります。
  • デバイスの再起動プロセス中に悪用が発生し、サービスの中断につながる可能性があります。
  • 初期アクセス、永続性、データ窃取などの被害が発生する可能性があります。

1.2 深刻度

  • CVSSv3.1のベーススコアは10.0 (Critical) と評価されており、極めて高い深刻度です。Palo Alto Networks社も深刻度を「Critical」と評価しています。

2. 対象となる環境

Palo Alto Networks社のPAN-OSソフトウェアを搭載したファイアウォールが影響を受けます。

2.1 影響を受けるOSバージョン

以下のPAN-OSバージョンが影響を受けます。

  • PAN-OS 10.2: 10.2.9-h1より前のバージョン (例: 10.2.8-h3, 10.2.7-h8, ..., 10.2.0-h3)
  • PAN-OS 11.0: 11.0.4-h1より前のバージョン (例: 11.0.3-h10, 11.0.2-h4, 11.0.1-h4, 11.0.0-h3)
  • PAN-OS 11.1: 11.1.2-h3より前のバージョン (例: 11.1.1-h1, 11.1.0-h3)

影響を受けない製品: * Cloud NGFW * Panoramaアプライアンス * Prisma Access

2.2 影響を受ける設定

  • GlobalProtect Gateway または GlobalProtect Portal （あるいはその両方）が設定されている場合に本脆弱性の影響を受けます。

注記: 以前はデバイステレメトリ機能が有効であることも悪用条件とされていましたが、その後の更新で、デバイステレメトリ機能の有効/無効にかかわらず本脆弱性の影響を受けることが報告されています。

3. 影響を受けた時の兆候

  • Palo Alto Networks社は、潜在的な侵害を確認するためのPAN-OS CLIコマンドを提供しています。
  • 攻撃者による設定情報の抽出やファイルの書き込みが試みられた形跡がある。
  • Pythonバックドア「UPSTYLE」などの悪性プログラムの展開が観測されることがあります。
  • Volexity社は、2024年3月26日～27日の時点で最初の悪用事例を観測しています。
  • 通常のログに異常な活動がないか確認することが推奨されます。

4. 推奨対策

4.1 本対策

  • 修正プログラム（Hotfix）の適用: Palo Alto Networks社がリリースしている以下の修正済みPAN-OSホットフィックスを速やかに適用してください。
    • PAN-OS 10.2.9-h1以降
    • PAN-OS 11.0.4-h1以降
    • PAN-OS 11.1.2-h3以降

4.2 暫定回避策（緩和策）

  • Threat Preventionシグネチャの適用: Threat Preventionサブスクリプションを利用している場合、Threat ID 95187, 95189, 95191（Applications and Threatsコンテンツバージョン8836-8695以降で利用可能）を適用することで、この脆弱性に対する攻撃をブロックできます。
  • 脆弱性保護の確認: GlobalProtectインターフェースに脆弱性保護が適用されていることを確認してください。

注記: 以前に回避策として提示されていたデバイステレメトリ機能の無効化は、効果がないことが判明しています。

Palo Alto Networks社は、回避策や緩和策が適用されている場合でも、最終的には修正バージョンにアップグレードすることを強く推奨しています。

他に解説すべき観点

  • 攻撃の活発化: 本脆弱性の情報公開後、悪用を実証するコード（PoC）が公開され、脆弱性を悪用する攻撃が大幅に増加していることが確認されています。
  • 既知の悪用: この脆弱性は、脅威グループ「UTA0218」によって2024年3月26日頃から悪用が確認されています。
  • CISA KEV Catalogへの登録: 米国CISA (Cybersecurity & Infrastructure Security Agency) は、本脆弱性を「Known Exploited Vulnerabilities Catalog」に追加しており、早急な対策を促しています。
  • 侵害調査方法: 攻撃を受けた可能性があるかを確認するために、Palo Alto Networks社が提供するアドバイザリなどを参照し、PAN-OS CLIコマンドの使用を検討することが推奨されています。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る