Lỗ hổng tường lửa PAN-OS đang bị khai thác tích cực – IoC đã được phát hành
Palo Alto Networks đã công bố các chỉ số xâm phạm (IoC) mới một ngày sau khi nhà cung cấp bảo mật mạng xác nhận rằng lỗ hổng bảo mật zero-day mới ảnh hưởng đến giao diện quản lý tường lửa PAN-OS của hãng đã bị khai thác tích cực trên thực tế.
Để đạt được mục đích đó, công ty cho biết họ đã quan sát thấy hoạt động độc hại bắt nguồn từ các địa chỉ IP bên dưới và nhắm mục tiêu vào các địa chỉ IP giao diện web quản lý PAN-OS có thể truy cập qua internet -
- 136.144.17\[.\]\*
- 173.239.218\[.\]251
- 216.73.162\[.\]\*
[
](https://thehackernews.uk/zerotrust-inside-d "An ninh mạng")
Tuy nhiên, công ty cảnh báo rằng các địa chỉ IP này có thể đại diện cho "VPN của bên thứ ba có hoạt động người dùng hợp pháp bắt nguồn từ các IP này đến các đích đến khác".
Bản khuyến cáo mới nhất của Palo Alto Networks cho biết lỗ hổng này đang bị khai thác để triển khai web shell trên các thiết bị bị xâm phạm, cho phép kẻ tấn công có quyền truy cập từ xa liên tục.
Lỗ hổng này, vẫn chưa được chỉ định mã định danh CVE, có điểm CVSS là 9,3, cho thấy mức độ nghiêm trọng. Nó cho phép thực hiện lệnh từ xa không cần xác thực.
Theo công ty, lỗ hổng này không yêu cầu người dùng phải tương tác hay có đặc quyền để khai thác và mức độ phức tạp của việc tấn công được coi là "thấp".
Tuy nhiên, mức độ nghiêm trọng của lỗ hổng sẽ giảm xuống mức cao (điểm CVSS: 7,5) nếu quyền truy cập vào giao diện quản lý bị hạn chế đối với một nhóm địa chỉ IP nhất định, trong trường hợp đó, kẻ tấn công sẽ phải có được quyền truy cập đặc quyền vào các IP đó trước.
Vào ngày 8 tháng 11 năm 2024, Palo Alto Networks bắt đầu tư vấn cho khách hàng bảo mật giao diện quản lý tường lửa của họ trong bối cảnh có báo cáo về lỗ hổng thực thi mã từ xa (RCE). Kể từ đó, người ta đã xác nhận rằng lỗ hổng bí ẩn này đã bị lạm dụng đối với "một số lượng hạn chế" các trường hợp.
Hiện tại không có thông tin chi tiết về cách lỗ hổng được phát hiện, tác nhân đe dọa đằng sau việc khai thác và mục tiêu của các cuộc tấn công này. Các sản phẩm Prisma Access và Cloud NGFW không bị ảnh hưởng bởi lỗ hổng.
Bản vá cho lỗ hổng bảo mật vẫn chưa được phát hành, khiến người dùng phải thực hiện ngay các bước để bảo mật quyền truy cập vào giao diện quản lý, nếu chưa thực hiện.
Bản tư vấn này được đưa ra khi ba lỗ hổng nghiêm trọng khác nhau trong Palo Alto Networks Expedition (CVE-2024-5910, CVE-2024-9463 và CVE-2024-9465) đã bị khai thác tích cực, theo Cơ quan An ninh mạng và Cơ sở hạ tầng Hoa Kỳ (CISA). Ở giai đoạn này, không có bằng chứng nào cho thấy các hoạt động này có liên quan.