Palo Alto Networks PAN-OS の認証回避の脆弱性（CVE-2024-0012）

何が起きた

Palo Alto Networks PAN-OS の Web の管理画面に、認証（ログイン）を回避される弱点が見つかりました。管理画面に通信できる攻撃者が、ログインせずに PAN-OS の管理者の権限を得て、設定を書き換えたり、CVE-2024-9474 のようなログイン済み向けの別の弱点を悪用したりできます。NVD の評価では、ログイン不要の攻撃者がネットワーク経由で離れた場所から悪用できます。CISA の KEV に載っており、ランサムウェア攻撃での悪用も知られています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

PAN-OS 10.2、11.0、11.1、11.2 を使っている組織が対象です。PAN-OS 10.1、Cloud NGFW、Prisma Access は影響を受けません。管理画面をインターネットや信頼できないネットワークから使える設定にしていると、危険が最も大きくなります。

何をすればいい

PAN-OS を修正版に更新してください。各系列では、たとえば 10.2.12-h2、11.0.6-h1、11.1.5-h1、11.2.4-h1 以降が修正版で、ほかの保守版向けの修正版も公開されています。管理画面にアクセスできる相手を、信頼できる社内の IP アドレスだけに制限すると、危険を大きく減らせます。Threat Prevention の契約があれば、勧告にある Threat ID をすべて遮断モードにする方法もあります。ただしそのためには、管理用の通信をデータ用のポート（DP ポート）経由にし、通信を復号して検査できるようにするなど、勧告にある設定もあわせて必要です。最新の公式の案内も確認してください。

やることチェックリスト

• PAN-OS を自分の系列の修正版に更新する
• 管理画面への接続を信頼できる社内の IP アドレスに限る
• Threat Prevention の該当 Threat ID を遮断にする

用語メモ

認証

ID とパスワードなどで、相手が本人かどうかを確かめる仕組みのことです。

管理画面

機器やソフトの設定を変えるために、管理者が使う画面のことです。

Threat Prevention

Palo Alto Networks の、攻撃の通信を見つけて止めるための有料の機能です。