Palo Alto Expedition: CVE-2024-5910 führt zur vollständigen Kompromittierung

Vor kurzem hat Horizon3.ai schwerwiegende Sicherheitslücken in der Palo Alto Networks’ Expedition-Software entdeckt und untersucht. Diese Schwachstellen, die in einem Blogpost detailliert beschrieben wurden, ermöglichen es Angreifern, das System vollständig zu kompromittieren, beginnend mit einer N-Day-Sicherheitslücke (CVE-2024-5910) bis hin zu einer vollständigen Übernahme der Administratorrechte.

Die Expedition-Software dient dazu, Firewall-Konfigurationen von Drittanbietern (wie Check Point oder Cisco) zu Palo Altos PAN-OS zu migrieren. Dabei haben die Forscher festgestellt, dass Angreifer, die keinen authentifizierten Zugriff benötigen, SQL-Injections durchführen können, um auf sensible Daten wie API-Schlüssel und Passwörter zuzugreifen. Dies führte zur Entdeckung mehrerer Schwachstellen, darunter:

1. CVE-2024-5910: Eine Schwachstelle, die es Angreifern erlaubt, das Administratorpasswort zurückzusetzen, ohne authentifiziert zu sein.
2. CVE-2024-9464: Authentifizierte Angreifer können darüber hinaus OS-Kommandos auf dem Server ausführen und dadurch sensitive Daten extrahieren.
3. CVE-2024-9465: Eine SQL-Injection-Lücke, die es ermöglicht, Datenbanken zu manipulieren und auf Benutzerdaten zuzugreifen.
4. CVE-2024-9466: Klartext-Passwörter und andere sensible Informationen wurden in Protokolldateien ungeschützt gespeichert.

Diese Schwachstellen stellen eine erhebliche Gefahr dar, da Angreifer so auf Netzwerkgeräte zugreifen und diese kompromittieren können. Besonders kritisch ist die Tatsache, dass einige der Expedition-Server direkt aus dem Internet erreichbar sind. Entsprechende Proof-of-Concept-Exploits wurden von Horizon3.ai veröffentlicht, um Unternehmen zu helfen, ihre Systeme zu testen und zu sichern.