La vulnérabilité CVE-2024-3400 dépend d'une faille d'injection de commande
Les cyber-attaquants profitent d'une vulnérabilité récemment révélée dans le logiciel PAN-OS de Palo Alto Networks depuis le 26 mars 2024, près de trois semaines avant sa divulgation publique. Cette activité, identifiée par la division Unit 42 de Palo Alto Networks comme étant l'opération MidnightEclipse, est attribuée à un seul acteur menaçant non identifié.
La faille de sécurité, connue sous le nom de CVE-2024-3400 avec un score de gravité de 10,0, permet à des attaquants non autorisés d'exécuter du code arbitraire avec les privilèges root sur les pare-feu concernés. Notamment, cette vulnérabilité affecte les configurations PAN-OS 10.2, PAN-OS 11.0 et PAN-OS 11.1 avec la passerelle GlobalProtect et la télémétrie des appareils activées.
L'opération MidnightEclipse consiste à exploiter cette faille pour mettre en place une tâche récurrente qui récupère les commandes d'un serveur externe et les exécute à l'aide du shell bash. Les attaquants gèrent méticuleusement une liste de contrôle d'accès pour le serveur de commande et de contrôle afin de restreindre l'accès uniquement au périphérique communicant.
Une porte dérobée Python soupçonnée dans le cadre d'une attaque
Bien que les commandes spécifiques ne soient pas divulguées, il est soupçonné qu'une porte dérobée basée sur Python, suivie comme UPSTYLE par Volexity, soit fournie via une URL hébergée sur un serveur distinct. Cette porte dérobée, lors de son exécution, écrit et exécute un autre script Python chargé d'exécuter les commandes de l'attaquant, avec les résultats enregistrés dans des fichiers de pare-feu légitimes.
Un aspect notable de cette attaque est l’utilisation de fichiers de pare-feu authentiques pour l’extraction de commandes et l’écriture des résultats. Les commandes sont écrites dans le journal des erreurs du pare-feu via des requêtes réseau contrefaites vers une page Web inexistante, déclenchant des modèles spécifiques que la porte dérobée décode et exécute ensuite.
Pour masquer les traces des sorties de commandes, une fonction appelée « restauration » est invoquée pour rétablir le fichier bootstrap.min.css à son état d'origine après 15 secondes, effaçant ainsi les preuves des commandes. Volexity a observé que l'acteur malveillant exploitait le pare-feu pour établir un shell inversé, télécharger des outils, pénétrer dans les réseaux internes et exfiltrer des données, bien que l'étendue de la campagne reste incertaine. L'adversaire est identifié comme UTA0218 par Volexity.
