Palo Alto Networks PAN-OS の脆弱性（CVE-2024-3393）

何が起きた

Palo Alto Networks の PAN-OS にある DNS Security の機能で、悪意のある DNS パケットを読み取って記録する処理に弱点が見つかりました。ネットワーク経由で、ログインしていない攻撃者が細工したパケットをファイアウォールに通すと、ファイアウォールが再起動します。何度も繰り返されると、ファイアウォールはメンテナンスモードに入り、通常の働きができなくなります。実際の悪用が確認されており、メーカーも、ファイアウォールが悪意のある DNS パケットをブロックしたときにこのサービス妨害が起きている利用者がいると説明しています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

PAN-OS を使っていて、DNS Security のライセンス（または Advanced DNS Security のライセンス）を適用し、さらに DNS Security のログ記録を有効にしているファイアウォールが対象です。メーカーによると、影響を受けるのは 10.1.14、10.2.8 以降の 10.2、11.1、11.2 の一部のバージョンで、Cloud NGFW は影響を受けません。PAN-OS 11.0 はサポートが終わっているため、修正は出ません。

何をすればいい

メーカーの公式の案内を確認し、PAN-OS 10.1.14-h8、10.2.10-h12、11.1.5、11.2.3 以降、またはメーカーが示す修正済みのバージョン（例: 11.1.2-h16、10.2.8-h19 など）に更新されているか確認してください。PAN-OS 11.0 を使っている場合は、修正が出ないため、修正のあるバージョンへ移ってください。すぐに更新できない場合の回避策として、メーカーは Anti-spyware のプロファイルで、DNS Security の全カテゴリのログの重要度（Log Severity）を none に変えて反映する方法を案内しています。修正を当てた後は、この設定を元に戻してください。

やることチェックリスト

• PAN-OS を修正済みのバージョンに更新する
• DNS Security のログ記録が有効か確認する
• 更新できなければログの重要度を none に変更する

用語メモ

DNS

ドメイン名（例: example.com）を、通信に使う IP アドレスに変換するしくみです。

ファイアウォール

ネットワークの出入り口で通信を調べ、危ない通信を止める機器やソフトです。

メンテナンスモード

機器が通常の動作を止め、修理や点検のための限られた動きだけをする状態です。

サービス妨害

機器やサービスを止めたり、使えない状態にしたりする攻撃のことです。