PAN-OS GlobalProtect (CVE-2024-3400)

In april 2024 bleek dat aanvallers al sinds eind maart binnenkwamen op firewalls van Palo Alto Networks. Ze gebruikten een fout in precies dat onderdeel dat organisaties gebruiken om medewerkers veilig van buitenaf te laten inloggen.

Wat is CVE-2024-3400

GlobalProtect gebruikte de waarde van een sessiecookie om een bestandspad op te bouwen, zonder die waarde te controleren. Met een gemanipuleerd cookie kon een aanvaller zonder inloggegevens overal op het bestandssysteem een leeg bestand aanmaken, met een naam naar keuze. Dat alleen voert nog niets uit. De commando-injectie ontstond doordat een ander proces op het apparaat zulke bestandsnamen later aan een shell doorgaf: een naam met shellcommando’s erin werd uitgevoerd, en wel als root, want zo draait dat proces. Palo Alto omschrijft de fout daarom als commando-injectie als gevolg van het willekeurig aanmaken van bestanden.

Dit is remote code execution in zijn zuiverste vorm: geen account, geen interactie, volledige controle.

Wat de aanvallers deden

Volexity ontdekte de aanvallen op 10 april 2024 bij een van zijn klanten en volgt de actor erachter onder de naam UTA0218. Unit 42, het eigen threat-intelligenceteam van Palo Alto, noemt de campagne Operation MidnightEclipse. Het vroegste spoor dat Volexity vond, dateert van 26 maart, toen de aanvaller de exploit kennelijk aan het testen was. De aanvallers plaatsten een backdoor die opdrachten uit het foutenlog van de webserver las en de uitvoer teruggaf in een CSS-bestand dat als legitiem onderdeel van het apparaat langskwam. Zo hadden ze een besturingskanaal dat in de gewone logs nauwelijks opviel.

Daarna volgde het gebruikelijke: configuratie uitlezen, inloggegevens verzamelen en van de firewall doorstappen naar het interne netwerk. Volexity acht het zeer waarschijnlijk dat UTA0218 door een staat wordt gesteund. In augustus 2025 noemden CISA en partnerdiensten CVE-2024-3400 bovendien onder de kwetsbaarheden die door de Chinese staat gesteunde actoren misbruiken.

Waarom de rand van het netwerk steeds vaker het doelwit is

VPN-concentrators, firewalls en gateways hebben drie eigenschappen die aanvallers aantrekken. Ze staan altijd aan het internet, ze hebben veel rechten binnen het netwerk, en er draait vaak geen detectiesoftware op omdat het gesloten apparaten zijn. Een inbraak daar is daardoor moeilijker te zien dan een inbraak op een werkplek.

Wat u nu moet doen

• PAN-OS 11.0 is sinds november 2024 end-of-life. De standaardondersteuning voor 10.2 eindigde in augustus 2025; er resteert alleen nog extended support, tot maart 2027. Draai een versiereeks die nog standaardondersteuning krijgt, op het moment van schrijven 11.1 of hoger, op de nieuwste maintenance release. De hotfixes uit 2024 zijn een ondergrens, geen doel.
• Zet beheerinterfaces van netwerkapparatuur nooit rechtstreeks aan het internet. Zie ook security misconfiguration.
• Neem randapparatuur op in uw logverzameling. Als er niets van het apparaat wordt weggeschreven, ziet u een inbraak pas als iemand anders het merkt.
• Ga er bij een kritieke fout in randapparatuur van uit dat er al misbruik is geweest en zoek daar actief naar, in plaats van alleen te patchen.