Tenable ブログ
ブログ通知を受信する
CVE-2019-1579：Palo Alto NetworksのGlobalProtectのSSL VPNにおける重大な脆弱性が開示される
多くの組織で使用されているPalo Alto GlobalProtectのSSL VPNソリューションにおける重大な脆弱性が研究者らにより開示されました
背景
7月17日、研究者、Orange TsaiとMeh Changは、世界中の多くの組織で使用されているPalo Alto Networks（PAN）のGlobalProtectのSecure Socket Layer（VPN）における認証されていないユーザーによるリモートコード実行（RCE）の脆弱性の発見に関するブログを公開しました。
分析
CVE-2019-1579は、クライアント/サーバ間のSSLハンドシェイクを処理するPAN SSLゲートウェイのフォーマット文字列の脆弱性で、この脆弱性を突くと、ゲートウェイでサニタイジングされていない特定のパラメータの値がsnprintfに渡される可能性があります。認証されていない攻撃者は、この脆弱性を悪用し、特別に細工された要求を脆弱なSSL VPNターゲットに送信し、リモートからシステムのコードを実行する可能性があります。
研究者らは、この調査結果をPANに報告しましたが、同社は、この脆弱性は社内で発見され、すでに修正されているためCVE識別子は割り当てられていないと応答しています。また、GlobalProtectの新しいバージョンは脆弱ではないとのことです。
研究者らは、大規模な組織がGlobalProtectの脆弱なバージョンを実行している可能性があるかどうかを調査し、人気のある配車サービス「Uber」が、修正されていないバージョンを実行していることを発見しました。彼らは、この脆弱性を突いた攻撃がUberで成功したことを確認し、Uberに報告しました。Uberは、Amazon Web Services（AWS）でホストされており、PAN SSL VPNは主なVPNではなく、組織の「コアインフラストラクチャ」の一部ではないことを報告しています。
脆弱性スキャンにより環境内でPAN SSL VPNの脆弱なインスタンスを実行している組織がますます多く検出されることが予想されます。
概念実証
TsaiとChangのブログ記事に概念実証（PoC）が含まれていますが、正常に機能するには修正が必要です。 また、login.cssファイル（8.x）と.gifファイル（7.x）に基づいて、脆弱なGlobalProtectのバージョンを識別するのに役立つコマンドも提供されています。
ベンダー応答
TsaiとChangのブログ公開後、PANはCVE識別子CVE-2019-1579を割り当て、それに対するセキュリティアドバイザリ、PAN-SA-2019-0020を公開しました。
ソリューション
次の表には、PAN-OSの脆弱性のあるバージョンと修正済み/脆弱でないバージョンに関する情報が含まれています。
| 影響を受けるバージョン | 修正済みバージョン |
|---|---|
| PAN-OS 7.1.18以前 | PAN-OS 7.1.19以降 |
| PAN-OS 8.0.11以前 | PAN-OS 8.0.12以降 |
| PAN-OS 8.1.2以前 | PAN-OS 8.1.3以降 |
この脆弱性は、PAN-OS 9.0.には影響を与えません。
さらに、PAN-SA-2019-0020では修正済みのバージョンにアップグレードできないお客様に対する緩和策が提供されています。同社は、「コンテンツリリース8173以降のバージョン」に更新し、「GlobalProtectポータルとGlobalProtectゲートウェイインターフェースを通過するトラフィックに対して脅威の防止を有効にして実行する」ことを推奨しています。
影響を受けているシステムの特定
この脆弱性を特定するための Nessus プラグイン一覧は、リリースされる度にこちらに表示されます。
詳細情報
Tenable コミュニティの Tenable セキュリティレスポンスチームに参加してみませんか。
現代のアタックサーフェスを総合的に管理する Cyber Exposure Platform を初めて提供した Tenable について詳細情報をご覧ください。
Tenable.io60日間無料トライルを入手する。
関連記事
Cybersecurity Snapshot: Find MITRE ATT&CK Complex? Need Help Mapping to It? There’s an App for That!
March 10, 2023Learn about a new tool that streamlines MITRE ATT&CK mapping. Plus, known vulnerabilities remain a major cyber risk – just ask LastPass. Also, discover why SaaS data protection remains difficult. Plus, a look at the U.S. National Cybersecurity Strategy. And much more!
The Ransomware Ecosystem: In Pursuit of Fame and Fortune
July 28, 2022The key players within the ransomware ecosystem, including affiliates and initial access brokers, work together cohesively like a band of musicians, playing their respective parts as they strive for fame and fortune.
Brazen, Unsophisticated and Illogical: Understanding the LAPSUS$ Extortion Group
July 20, 2022Having gained the industry’s attention in the first months of 2022, the LAPSUS$ extortion group has largely gone quiet. What can we learn from this extortion group’s story and tactics?
Cybersecurity Snapshot: Latest MITRE ATT&CK Update Offers Security Insights on GenAI, Identity, Cloud and CI/CD
April 26, 2024Check out what’s new in Version 15 of the MITRE ATT&CK knowledge base of adversary tactics, techniques and procedures. Plus, learn the latest details about the Change Healthcare breach, including the massive scope of the data exfiltration. In addition, why AI cyberthreats aren’t impacting CISOs’ budgets. And much more!
CVE-2024-20353, CVE-2024-20359: Frequently Asked Questions About ArcaneDoor
April 25, 2024Frequently asked questions about CVE-2024-20353 and CVE-2024-20359, two vulnerabilities associated with “ArcaneDoor,” the espionage-related campaign targeting Cisco Adaptive Security Appliances.
CVE-2024-4040: CrushFTP Virtual File System (VFS) Sandbox Escape Vulnerability Exploited
April 23, 2024A zero-day vulnerability in CrushFTP was exploited in the wild against multiple U.S. entities prior to fixed versions becoming available as the vendor recommends customers upgrade as soon as possible.
- Threat Intelligence
- Threat Management
- Vulnerability Management
- Vulnerability Scanning