CVE-2019-1579：Palo Alto NetworksのGlobalProtectのSSL VPNにおける重大な脆弱性が開示される
多くの組織で使用されているPalo Alto GlobalProtectのSSL VPNソリューションにおける重大な脆弱性が研究者らにより開示されました
背景
7月17日、研究者、Orange TsaiとMeh Changは、世界中の多くの組織で使用されているPalo Alto Networks（PAN）のGlobalProtectのSecure Socket Layer（VPN）における認証されていないユーザーによるリモートコード実行（RCE）の脆弱性の発見に関するブログを公開しました。
分析
CVE-2019-1579は、クライアント/サーバ間のSSLハンドシェイクを処理するPAN SSLゲートウェイのフォーマット文字列の脆弱性で、この脆弱性を突くと、ゲートウェイでサニタイジングされていない特定のパラメータの値がsnprintfに渡される可能性があります。認証されていない攻撃者は、この脆弱性を悪用し、特別に細工された要求を脆弱なSSL VPNターゲットに送信し、リモートからシステムのコードを実行する可能性があります。
研究者らは、この調査結果をPANに報告しましたが、同社は、この脆弱性は社内で発見され、すでに修正されているためCVE識別子は割り当てられていないと応答しています。また、GlobalProtectの新しいバージョンは脆弱ではないとのことです。
研究者らは、大規模な組織がGlobalProtectの脆弱なバージョンを実行している可能性があるかどうかを調査し、人気のある配車サービス「Uber」が、修正されていないバージョンを実行していることを発見しました。彼らは、この脆弱性を突いた攻撃がUberで成功したことを確認し、Uberに報告しました。Uberは、Amazon Web Services（AWS）でホストされており、PAN SSL VPNは主なVPNではなく、組織の「コアインフラストラクチャ」の一部ではないことを報告しています。
脆弱性スキャンにより環境内でPAN SSL VPNの脆弱なインスタンスを実行している組織がますます多く検出されることが予想されます。
概念実証
TsaiとChangのブログ記事に概念実証（PoC）が含まれていますが、正常に機能するには修正が必要です。 また、login.cssファイル（8.x）と.gifファイル（7.x）に基づいて、脆弱なGlobalProtectのバージョンを識別するのに役立つコマンドも提供されています。
ベンダー応答
TsaiとChangのブログ公開後、PANはCVE識別子CVE-2019-1579を割り当て、それに対するセキュリティアドバイザリ、PAN-SA-2019-0020を公開しました。
ソリューション
次の表には、PAN-OSの脆弱性のあるバージョンと修正済み/脆弱でないバージョンに関する情報が含まれています。
| 影響を受けるバージョン | 修正済みバージョン |
|---|---|
| PAN-OS 7.1.18以前 | PAN-OS 7.1.19以降 |
| PAN-OS 8.0.11以前 | PAN-OS 8.0.12以降 |
| PAN-OS 8.1.2以前 | PAN-OS 8.1.3以降 |
この脆弱性は、PAN-OS 9.0.には影響を与えません。
さらに、PAN-SA-2019-0020では修正済みのバージョンにアップグレードできないお客様に対する緩和策が提供されています。同社は、「コンテンツリリース8173以降のバージョン」に更新し、「GlobalProtectポータルとGlobalProtectゲートウェイインターフェースを通過するトラフィックに対して脅威の防止を有効にして実行する」ことを推奨しています。
影響を受けているシステムの特定
この脆弱性を特定するための Nessus プラグイン一覧は、リリースされる度にこちらに表示されます。
詳細情報
Tenable コミュニティの Tenable セキュリティレスポンスチームに参加してみませんか。
現代のアタックサーフェスを総合的に管理する Cyber Exposure Platform を初めて提供した Tenable について詳細情報をご覧ください。
Tenable.io60日間無料トライルを入手する。
Satnam Narang
シニアスタッフリサーチエンジニア、セキュリティリスポンス
Tenable に 2018 年に入社した Satnam は、業界で 15 年以上の経歴があり (M86 Security、Symantec)、フィッシング対策協議会のメンバーとして、全米サイバーセキュリティアライアンス (NCSA) の「SNS ガイド」の編纂に寄与したほか、Twitter では巨大なスパムのボットネットを発見し、Tinderでもスパムボットを最初に報告するなど広く活動してきました。NBC テレビの Nightly News、Entertainment Tonight、また Bloomberg West や、Why Oh Why ポッドキャストに出演しています。
プライベートの時間には... 詩作に励み、ヒップホップも作曲します。音楽は生で聴くのが好きで、3人の姪との時間が楽しみ。フットボールやバスケットボール、ボリウッド映画や音楽、グログー (ベビーヨーダ) がお気に入りです。
関連記事
Volt Typhoon: What State and Local Government Officials Need to Know
Increased activity from the state-sponsored threat group Volt Typhoon raises concerns about the cybersecurity of U.S. critical infrastructure. Here’s how you can identify potential exposures and attack paths....
Cybersecurity Snapshot: Guide Unpacks Event-Logging Best Practices, as FAA Proposes Stronger Cyber Rules for Airplanes
Looking to sharpen your team’s event logging and threat detection? A new guide offers plenty of best practices. Plus, the FAA wants airplanes to be more resilient to cyberattacks. Meanwhile, check out the critical vulnerabilities Tenable discovered in two Microsoft AI products. And get the latest on...
Detecting Risky Third-party Drivers on Windows Assets
Kernel-mode drivers are critical yet risky components of the Windows operating system. Learn about their functionality, the dangers they pose, and how Tenable's new plugins can help identify and mitigate vulnerabilities using community-driven resources like LOLDrivers....
- Threat Intelligence
- Threat Management
- Vulnerability Management
- Vulnerability Scanning