Palo Alto Networks PAN-OS のOSコマンドインジェクションの脆弱性（CVE-2024-9474）

何が起きた

Palo Alto Networks PAN-OS の Web の管理画面に、OS コマンドインジェクションの弱点が見つかりました。管理画面に入れる PAN-OS の管理者が、ファイアウォールを root（いちばん強い権限）で操作できてしまいます。NVD の評価では、管理者などの高い権限を持つ攻撃者がネットワーク経由で悪用できます。CISA の KEV に載っており、ランサムウェア攻撃での悪用も知られています。Palo Alto Networks も、この弱点を使う攻撃が増えていると伝えています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

PAN-OS 10.1、10.2、11.0、11.1、11.2 を動かす PA-Series、VM-Series、CN-Series のファイアウォールと、Panorama、WildFire の機器を使っている組織が対象です。Cloud NGFW と Prisma Access は影響を受けません。なお、CVE-2024-0012（ログインを回避する弱点）と組み合わせて悪用される可能性があると、Palo Alto Networks は CVE-2024-0012 の説明で示しています。

何をすればいい

PAN-OS を修正版に更新してください。各系列では、たとえば 10.1.14-h6、10.2.12-h2、11.0.6-h1、11.1.5-h1、11.2.4-h1 以降が修正版で、ほかの保守版向けの修正版も公開されています。あわせて、管理画面にアクセスできる相手を、信頼できる社内の IP アドレスだけに制限してください。自分の版に合う修正版は、最新の公式の案内で確認してください。

やることチェックリスト

• PAN-OS を自分の系列の修正版に更新する
• 管理画面への接続を信頼できる社内の IP アドレスに限る
• 管理画面をインターネットから見えないようにする

用語メモ

OS コマンドインジェクション

入力の中に命令を紛れ込ませて、機器の OS に意図しないコマンドを実行させる攻撃の手口です。

root

Linux などのシステムで、何でもできるいちばん強い管理者の権限のことです。

ランサムウェア

データを使えなくして、元に戻す代わりにお金を要求する不正なプログラムです。