Palo Alto Networks ha publicado revisiones para solucionar un fallo de seguridad de máxima gravedad que afecta al software PAN-OS y que ha sido objeto de explotación activa.

Identificada como CVE-2024-3400 (puntuación CVSS: 10,0), la vulnerabilidad crítica es un caso de inyección de comandos en la función GlobalProtect que un atacante no autenticado podría aprovechar para ejecutar código arbitrario con privilegios de root en el cortafuegos.

Las correcciones de la deficiencia están disponibles en las siguientes versiones

• PAN-OS 10.2.9-h1
• PAN-OS 11.0.4-h1, y
• PAN-OS 11.1.2-h3

Se espera que en los próximos días se publiquen parches para otras versiones de mantenimiento utilizadas habitualmente.

"Este problema es aplicable únicamente a los cortafuegos PAN-OS 10.2, PAN-OS 11.0 y PAN-OS 11.1 configurados con la puerta de enlace GlobalProtect o el portal GlobalProtect (o ambos) y la telemetría de dispositivos activada", aclaró la empresa en su aviso actualizado.

También señala que, si bien los cortafuegos Cloud NGFW no están afectados por CVE-2024-3400, sí lo están versiones específicas de PAN-OS y distintas configuraciones de características de las máquinas virtuales de cortafuegos desplegadas y gestionadas por los clientes en la nube.

Por el momento se desconoce el origen exacto de la amenaza que explota el fallo, pero la Unidad 42 de Palo Alto Networks está rastreando la actividad maliciosa bajo el nombre de Operación MidnightEclipse.

Volexity, que lo atribuyó a un clúster apodado UTA0218, dijo que CVE-2024-3400 ha sido aprovechado desde al menos el 26 de marzo de 2024 para ofrecer una puerta trasera basada en Python llamada UPSTYLE en el cortafuegos que permite la ejecución de comandos arbitrarios a través de peticiones especialmente diseñadas.

No está claro cuán generalizada ha sido la explotación, pero la firma de inteligencia de amenazas dijo que tiene "evidencia de una posible actividad de reconocimiento que implica una explotación más generalizada destinada a identificar sistemas vulnerables."

En los ataques documentados hasta la fecha, se ha observado que UTA0218 desplegaba cargas útiles adicionales para lanzar shells inversos, exfiltrar datos de configuración de PAN-OS, eliminar archivos de registro y desplegar la herramienta de tunelización Golang denominada GOST (GO Simple Tunnel).

Se dice que no se ha desplegado ningún otro malware de seguimiento o métodos de persistencia en las redes de las víctimas, aunque se desconoce si es por diseño o debido a la detección y respuesta tempranas.

Fuente: thehackernews