Palo Alto Networks PAN-OS のOSコマンドインジェクションの脆弱性（CVE-2024-3400）

何が起きた

Palo Alto Networks の PAN-OS にある GlobalProtect という機能に、ファイルを好きな場所に作られてしまうことがきっかけで、OS への命令を外から差し込まれる弱点（コマンドインジェクション）が見つかりました。悪用されると、ファイアウォールの上で最も強い権限（root）でコードを実行されるおそれがあります。ネットワーク経由で、ログインしていない攻撃者が、利用者の操作なしに悪用できます。実際に悪用が確認されており、ランサムウェアでの悪用も知られています（CISA の KEV より）。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

メーカーの勧告によると、対象は PAN-OS 10.2、11.0、11.1 のファイアウォールで、GlobalProtect gateway か GlobalProtect portal（または両方）を設定している機器です。修正前の版は、10.2.9-h1 より前、11.0.4-h1 より前、11.1.2-h3 より前です。Cloud NGFW、Panorama の機器、Prisma Access は影響を受けません。

何をすればいい

メーカーは、回避策を入れていても、すぐに修正版の PAN-OS へ更新するよう強く勧めています。修正版は PAN-OS 10.2.9-h1、11.0.4-h1、11.1.2-h3 とそれ以降の版で、よく使われる他の保守版向けにも修正（hotfix）が出ています。すぐに更新できない場合、Threat Prevention の契約がある利用者は Threat ID 95187、95189、95191 で攻撃を防げますが、GlobalProtect のインターフェースに脆弱性防御を適用しておく必要があります。以前の案内にあったデバイステレメトリーの無効化は、今は効果がないとされているので、メーカーの公式の案内を確認して対応してください。

やることチェックリスト

• PAN-OS を 10.2.9-h1 などの修正版以降に更新する
• GlobalProtect の設定があるかを確認する
• Threat ID 95187、95189、95191 を適用する

用語メモ

コマンドインジェクション

入力に命令を混ぜ込み、機器やサーバーに本来は実行しない命令を実行させる攻撃です。

root

Linux などで、すべての操作ができる最も強い管理者の権限のことです。

hotfix

特定の不具合や弱点をすばやく直すために出される、小さな修正の更新です。

ファイアウォール

ネットワークの出入り口で、通してよい通信と止める通信を分ける機器や仕組みです。