Palo Alto Networks Expedition のSQLインジェクションの脆弱性（CVE-2024-9465）

何が起きた

Palo Alto Networks Expedition（ほかのファイアウォールの設定を PAN-OS 向けに移すための道具）に、SQL インジェクションの弱点が見つかりました。ログインしていない攻撃者が、パスワードハッシュ、ユーザー名、機器の設定、機器の API キーなど、データベースの中身を読み出せます。さらに、Expedition の上で任意のファイルを作ったり読んだりもできます。NVD の評価では、ログイン不要の攻撃者がネットワーク経由で悪用でき、CISA の KEV にも載っています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Palo Alto Networks Expedition を使っている組織が対象です。CVE の記録では、1.2.0 以上 1.2.96 未満が影響を受けるとされています。

何をすればいい

Expedition を 1.2.96 以降に更新してください。更新した後は、Expedition のユーザー名、パスワード、API キーを変更し、Expedition で扱ったファイアウォールのユーザー名、パスワード、API キーも変更してください。Expedition への接続は、許可した利用者や機器、ネットワークだけに制限し、使っていないときは Expedition を止めておきます。なお、Palo Alto Networks によると、Expedition は 2024年12月31日でサポートが終わり（EoL）、これ以上の更新やセキュリティの修正は予定されていません。Expedition は移行のために一時的に使う道具で、ふだんの運用で動かし続けるものではないとされているので、使い終わったら止め、Palo Alto Networks が案内している代わりの方法を使ってください。Palo Alto Networks の勧告には、この弱点の侵入の痕跡を調べるコマンドも載っているので、最新の公式の案内も確認してください。

やることチェックリスト

• Expedition を 1.2.96 以降に更新する
• 更新後にパスワードと API キーを変更する
• サポート終了のため使い終えたら止める

用語メモ

SQL インジェクション 用語集で見る

入力の中に命令を紛れ込ませて、データベースを不正に操作する攻撃の手口です。

パスワードハッシュ

パスワードをそのまま保存せず、元に戻しにくい形に変換した値のことです。

API キー 用語集で見る

プログラムどうしがやり取りするときに使う、合言葉のような文字列です。