Trusted Design

解説:

CVE-2024-5910について、以下の観点で解説します。

1. 脆弱性の概要

CVE-2024-5910は、Palo Alto Networksが提供するマイグレーションツール「Expedition」における、認証の欠如の脆弱性です。 この脆弱性は、Expeditionの重要な機能において認証が適切に実施されていないことに起因します。 共通脆弱性タイプ一覧（CWE）では「CWE-306: Missing Authentication for Critical Function（重要な機能に対する認証の欠如）」に分類されています。

1.1 影響

この脆弱性が悪用されると、攻撃者はExpeditionの管理者アカウントを乗っ取ることが可能になります。 その結果、Expeditionにインポートされた機密性の高い設定データ、認証情報、その他のデータが危険にさらされます。 これは不正アクセス、データ漏洩、ネットワークへのさらなる侵入、および設定の操作につながる可能性があります。 また、Horizon3.aiの研究者によって発見された関連する脆弱性（CVE-2024-9464）と組み合わせることで、リモートからの任意のコマンド実行も可能になることが判明しています。

1.2 深刻度

CVE-2024-5910のCVSS v3.1ベーススコアは9.3 (Critical) であり、高い深刻度と評価されています。 攻撃ベクトルはネットワークベースであり、攻撃の複雑性は低く、ユーザーの操作は不要であるため、攻撃者にとって悪用が容易である可能性があります。 米国サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は、この脆弱性を「悪用が確認された脆弱性カタログ（KEV）」に追加しており、実際に悪用されていることが示されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

Palo Alto Networksが提供するマイグレーションツール「Expedition」が対象です。 具体的には、Expeditionのバージョン1.2.92未満のすべてのバージョンが影響を受けます。 この問題はExpedition 1.2.92以降のバージョンで修正されています。

2.2 影響を受ける設定

Expeditionへのネットワークアクセスがある攻撃者によって悪用される可能性があります。

3. 影響を受けた時の兆候

システムが影響を受けたかどうかの兆候としては、Expeditionのログファイル（/var/apache/log/access.log）を検査し、脆弱性が悪用されたエンドポイントへの疑わしいHTTPリクエストがないか確認することが挙げられます。 また、システム上で不審な活動がないか継続的に監視することが推奨されます。

4. 推奨対策

4.1 本対策

Expeditionをバージョン1.2.92以降の最新バージョンに更新してください。 公式の修正情報については、Palo Alto Networksのセキュリティアドバイザリを参照してください。

4.2 暫定回避策（緩和策）

• Expeditionへのネットワークアクセスを、許可されたユーザー、ホスト、またはネットワークに制限してください。
• 定期的なセキュリティ評価とペネトレーションテストを実施し、ネットワーク構成とデバイスの脆弱性をプロアクティブに特定および修復してください。
• 不正なアクセス試行や異常な動作を検出するために、堅牢な監視およびログ記録ソリューションを実装してください。
• CISAは、ベンダーの指示に従って緩和策を適用するか、緩和策が利用できない場合は製品の使用を中止することを推奨しています。
• Palo Alto NetworksはExpeditionの主要機能を新製品に移行し、2025年1月からはExpeditionのサポートを終了する予定です。

参照したサイト

• 米CISA、脆弱性4件の悪用について注意喚起 - Security NEXT
• CVE-2024-5910 - CVE Record
• Palo Alto Networks Security Advisory: CVE-2024-5910 Expedition: Missing Authentication Leads to Admin Account Takeover
• CVE-2024-5910: Palo Alto Expedition Auth Bypass Flaw - SentinelOne
• CVE-2024-5910 - Exploits & Severity - Feedly
• Palo Alto Networks Expedition に深刻な脆弱性、CISAが緊急警告 – 管理者アカウント乗っ取りのリスク - innovaTopia
• CVE-2024-5910 (Palo Alto Expedition) – Defensive | Immersive Community - 693
• CVE-2024-5910 — exploited in the wild (CISA KEV): remediation & advisories | VulnTrek
• H-ISAC TLP White Palo Alto Networks Critical Expedition Flaw CVE-2024-5910 Is Being Exploited | AHA - American Hospital Association
• Cybersecurity Threat Advisory: New critical vulnerability in Palo Alto Expedition
• Palo Alto Expedition: From N-Day to Full Compromise - Horizon3.ai