CVE-2024-3400: parchea GlobalProtect o sácalo de línea
Palo Alto Networks divulgó el 12 de abril de 2024 un fallo de inyección de comandos sin autenticación en PAN-OS, puntuado 10,0, limitado a cortafuegos con gateway o portal GlobalProtect. Ya se estaba usando.
CVE-2024-3400 es una vulnerabilidad de inyección de comandos en PAN-OS, seguida por Palo Alto Networks en el aviso publicado el 12 de abril de 2024. Aplica cuando el gateway o el portal de GlobalProtect están activos. NVD y el fabricante lo puntuaron con 10,0. CISA lo añadió al catálogo de explotados en cuanto el aviso fue público, porque el uso había empezado antes de los parches.
La instrucción del fabricante, mientras los arreglos salían por rama, fue aplicar el hotfix de tu rama de PAN-OS o desactivar GlobalProtect si no podías. Los informes de ese mes describieron implantes en cortafuegos comprometidos. Esta nota no describe la petición.
Qué cortafuegos entraban en el alcance
PAN-OS con el gateway o el portal de GlobalProtect activos. Las funciones de cortafuegos que no exponen GlobalProtect quedaban fuera de la condición del aviso. Un equipo que solo filtra tráfico este-oeste y tiene el portal apagado no era la configuración objetivo. Muchos equipos tenían el portal encendido porque el acceso remoto es la razón por la que se compró la caja.
Los servicios entregados desde la nube que no son un cortafuegos PAN-OS que tú operas no eran lo que tenías que parchear a mano. El aparato en el rack, y el cortafuegos virtual de la cuenta que pagas, sí.
Qué es un shell en el cortafuegos
El cortafuegos ve el tráfico que le pediste ver, y guarda las credenciales de los usuarios de VPN que terminan ahí. Una inyección de comandos en esa posición no es un proceso caído. Es un equipo del lado de gestión de la red, con vista de las sesiones de acceso remoto.
La cobertura pública después del 12 de abril describió herramientas dejadas en los dispositivos. Si tu GlobalProtect estuvo expuesto y sin parche en esa ventana, trata el equipo como no confiable hasta que puedas mostrar que el hotfix ya estaba instalado. Exporta los registros fuera de la caja antes de reconstruirla.
Sigue el aviso del fabricante, no una lista de versiones copiada
Palo Alto publicó hotfixes en las ramas soportadas de PAN-OS y actualizó el aviso cuando las versiones de mantenimiento posteriores los absorbieron. La página de CVE-2024-3400 es la lista. Un número de versión recordado de un blog de abril de 2024 puede quedarse corto del hotfix que de verdad traía el arreglo de tu rama.
Si el equipo está en una rama fuera de soporte, la respuesta del aviso es subir a una rama soportada, no esperar un hotfix que no va a llegar. Desactivar GlobalProtect quita la condición que nombra el aviso. Hazlo solo si el acceso remoto puede parar, y vuelve a encenderlo solo cuando el build corregido esté en marcha.
Parchea, y luego decide si el equipo sigue siendo tuyo
Aplica el hotfix del aviso, reinicia si la actualización lo pide, y confirma que la versión de PAN-OS en el equipo coincide con un build corregido. Hazlo en los dos miembros de una pareja de alta disponibilidad. Restringe la interfaz de gestión a una red que no sea el mismo camino que GlobalProtect.
En un equipo que estuvo expuesto y tarde, conserva los registros, rota las credenciales guardadas en él y prefiere una reconstrucción a una limpieza que no puedas verificar. Manda los registros del cortafuegos a un colector que el equipo no administre. La URL del aviso es el enlace del ticket de cambio.
Aviso de Palo Alto Networks para CVE-2024-3400, divulgado el 12 de abril de 2024.
https://security.paloaltonetworks.com/CVE-2024-3400
Preguntas frecuentes
¿Cada cortafuegos de Palo Alto necesita este hotfix?
El aviso condiciona a que el gateway o el portal de GlobalProtect estén activos. Comprueba esa configuración. Si está activa, aplica el build corregido de tu rama de PAN-OS desde la página del fabricante para CVE-2024-3400.
¿Puedo esperar a la próxima ventana de mantenimiento?
El uso se reportó antes del aviso. Si GlobalProtect está en internet y el build no está corregido, el paso interino del fabricante fue desactivarlo hasta que el hotfix esté puesto. Una semana de exposición es el incidente.
¿Qué puntuación llevaba?
10,0. CISA listó CVE-2024-3400 en el catálogo de explotados cuando el aviso se hizo público el 12 de abril de 2024 porque ya se estaba usando.