Zertifikatsvalidierungsproblem in der Palo Alto Networks GlobalProtect App

Am 26. November 2024 wurde die Sicherheitslücke CVE-2024-5921 in der Palo Alto Networks GlobalProtect App veröffentlicht, die auf eine unzureichende Validierung von Zertifikaten zurückzuführen ist. Diese Schwachstelle kann von Angreifern ausgenutzt werden, um Root-Zertifikate zu manipulieren und Privilegien zu eskalieren. Die Schwachstelle wird als mittelschwer (Severity 5.6 / MEDIUM) eingestuft.

Die GlobalProtect-App überprüft Zertifikate nicht ausreichend, was Angreifern ermöglicht, die App mit beliebigen Servern zu verbinden. Dadurch können bösartige Root-Zertifikate installiert werden, was wiederum die Installation von mit diesen Zertifikaten signierter Schadsoftware ermöglicht.

Betroffen sind:

  • Alle Versionen der GlobalProtect-App unter Windows vor Version 6.2.6.
  • Alle Versionen der GlobalProtect-App auf MacOS und Linux.
  • Alle Versionen der GlobalProtect-App 6.3, 6.1, 6.0 und 5.1.
  • GlobalProtect UWP-App für Windows.

Die Ausnutzung erfolgt lokal und erfordert niedrige Berechtigungen. Es ist keine Benutzerinteraktion notwendig. Der Angriffszugang liegt über ein unsicheres Zertifikatssystem, was zu Privilege Escalation führen kann.

Ein erfolgreicher Angriff kann:

  1. Die Installation bösartiger Root-Zertifikate auf Endgeräten ermöglichen.
  2. Schadsoftware einfügen, die von diesen Zertifikaten signiert ist, wodurch Systeme manipuliert und privilegierte Aktionen ausgeführt werden können.

Empfohlenes Update:

  • Installieren Sie GlobalProtect Version 6.2.6 oder höher auf betroffenen Windows-Systemen.
  • Beispiel für die Installation mit aktiviertem Zertifikatsvalidierungsmodus: msiexec.exe /i GlobalProtect64.msi FULLCHAINCERTVERIFY="yes"
  • Optional können Sie Zertifikatspeicher und -orte festlegen: msiexec.exe /i GlobalProtect64.msi FULLCHAINCERTVERIFY="yes" CERTSTORE="machine" CERTLOCATION="ROOT"
  • CERTSTORE-Optionen: “machine” (empfohlen) oder “user”.
  • CERTLOCATION-Optionen: “ROOT” (empfohlen), “MY”, “trustedpublisher” etc.

Workaround:

  • Aktivieren Sie den FIPS-CC-Modus in der GlobalProtect-App. Detaillierte Anweisungen sind in der Dokumentation von Palo Alto Networks zu finden.
Tags :

Related Posts

Datenleck bei Experian: Sicherheitslücke ermöglicht Zugriff auf Kreditauskünfte

Lilith Wittmann hat erneut eine gravierende Sicherheitslücke bei einem Kreditportal aufgedeckt, wie Sie auf Linkedin berichtete. Über das von smava betriebene Portal „scorekompass“ konnte sie am vergangenen Wochenende uneingeschränkten Zugriff auf die Kreditscores und Negativmerkmale aller in Deutschland gespeicherten Personen erhalten.

Read More

Neue kritische Schwachstelle CVE-2024-52533 in GNOME GLib entdeckt

Am 11. November 2024 wurde eine schwerwiegende Schwachstelle in GNOME GLib bekannt gegeben (CVE-2024-52533). Die Schwachstelle betrifft die Datei gio/gsocks4aproxy.c in GNOME GLib vor Version 2.82.1 und ermöglicht einen Buffer Overflow durch einen Off-by-One-Fehler. Dieser Fehler resultiert aus einer unzureichenden Puffergröße (SOCKS4_CONN_MSG_LEN), die das abschließende Null-Byte nicht berücksichtigt.

Read More

Sicherheitsrisiko in Versa Director: Standardpasswort und PostgreSQL-Fehlkonfiguration

Eine kritische Sicherheitslücke CVE-2024-42450 wurde in der Standardkonfiguration der Virtualisierungsplattform Versa Director entdeckt. Dieses Problem betrifft die PostgreSQL-Datenbank, die für die Speicherung von Betriebs- und Konfigurationsdaten sowie für die High-Availability-Funktionalität des Systems genutzt wird. Die Schwachstelle kombiniert ein Standardpasswort, das in allen Instanzen von Versa Director verwendet wird, mit einer unsicheren Konfiguration, die PostgreSQL erlaubt, auf alle Netzwerkinterfaces zu lauschen.

Read More