Tường lửa Palo Alto dễ bị tấn công Secure Boot Bypass và khai thác phần mềm hệ thống
Đánh giá toàn diện ba mô hình tường lửa từ Palo Alto Networks đã phát hiện ra một loạt lỗ hổng bảo mật đã biết ảnh hưởng đến phần mềm của thiết bị cũng như các tính năng bảo mật được cấu hình sai.
"Đây không phải là những lỗ hổng bảo mật khó hiểu, ít người biết đến", nhà cung cấp bảo mật Eclypsium cho biết trong báo cáo chia sẻ với The Hacker News.
"Thay vào đó, đây là những vấn đề rất phổ biến mà chúng tôi không mong đợi sẽ thấy ngay cả trên máy tính xách tay dành cho người tiêu dùng. Những vấn đề này có thể cho phép kẻ tấn công trốn tránh ngay cả các biện pháp bảo vệ toàn vẹn cơ bản nhất, chẳng hạn như Khởi động an toàn và sửa đổi chương trình cơ sở của thiết bị nếu bị khai thác."
Công ty cho biết họ đã phân tích ba thiết bị tường lửa từ Palo Alto Networks là PA-3260, PA-1410 và PA-415, trong đó thiết bị đầu tiên chính thức ngừng bán vào ngày 31 tháng 8 năm 2023. Hai mẫu còn lại là nền tảng tường lửa được hỗ trợ đầy đủ.
Danh sách các lỗi đã xác định, được gọi chung là PANdora's Box , như sau:
- CVE-2020-10713 hay còn gọi là BootHole (Ảnh hưởng đến PA-3260, PA-1410 và PA-415), đề cập đến lỗ hổng tràn bộ đệm cho phép bỏ qua Secure Boot trên các hệ thống Linux có bật tính năng này
- CVE-2022-24030, CVE-2021-33627, CVE-2021-42060, CVE-2021-42554, CVE-2021-43323 và CVE-2021-45970 (Ảnh hưởng đến PA-3260), đề cập đến một tập hợp các lỗ hổng của Chế độ quản lý hệ thống (SMM) ảnh hưởng đến chương trình cơ sở UEFI InsydeH2O của Insyde Software có thể dẫn đến leo thang đặc quyền và bỏ qua Secure Boot
- LogoFAIL (Ảnh hưởng đến PA-3260), đề cập đến một tập hợp các lỗ hổng nghiêm trọng được phát hiện trong mã Giao diện chương trình cơ sở mở rộng hợp nhất (UEFI) khai thác các lỗ hổng trong thư viện phân tích hình ảnh được nhúng trong chương trình cơ sở để bỏ qua Khởi động an toàn và thực thi mã độc hại trong quá trình khởi động hệ thống
- PixieFail (Ảnh hưởng đến PA-1410 và PA-415), đề cập đến một tập hợp các lỗ hổng trong ngăn xếp giao thức mạng TCP/IP được tích hợp trong triển khai tham chiếu UEFI có thể dẫn đến thực thi mã và tiết lộ thông tin
- Lỗ hổng kiểm soát truy cập flash không an toàn (Ảnh hưởng đến PA-415), liên quan đến trường hợp kiểm soát truy cập flash SPI được cấu hình sai có thể cho phép kẻ tấn công sửa đổi UEFI trực tiếp và bỏ qua các cơ chế bảo mật khác
- CVE-2023-1017 (Ảnh hưởng đến PA-415), liên quan đến lỗ hổng ghi ngoài giới hạn trong đặc tả thư viện tham chiếu Trusted Platform Module (TPM) 2.0
- Intel bootguard bị rò rỉ khóa bỏ qua (Ảnh hưởng đến PA-1410)
"Những phát hiện này nhấn mạnh một sự thật quan trọng: ngay cả các thiết bị được thiết kế để bảo vệ cũng có thể trở thành mục tiêu tấn công nếu không được bảo vệ và bảo trì đúng cách", Eclypsium cho biết. "Khi những kẻ đe dọa tiếp tục nhắm mục tiêu vào các thiết bị bảo mật, các tổ chức phải áp dụng một cách tiếp cận toàn diện hơn đối với bảo mật chuỗi cung ứng".
"Điều này bao gồm các đánh giá nghiêm ngặt của nhà cung cấp, cập nhật chương trình cơ sở thường xuyên và giám sát tính toàn vẹn của thiết bị liên tục. Bằng cách hiểu và giải quyết các lỗ hổng ẩn này, các tổ chức có thể bảo vệ tốt hơn mạng lưới và dữ liệu của mình khỏi các cuộc tấn công tinh vi khai thác chính các công cụ được thiết kế để bảo vệ chúng."
[
](https://thehackernews.uk/itdr-guide-d "Cybersecurity")
Cập nhật[#](#update)
Khi được yêu cầu bình luận, Palo Alto Networks đã chia sẻ tuyên bố dưới đây với The Hacker News -
_Sự an toàn của khách hàng là ưu tiên hàng đầu của chúng tôi. Palo Alto Networks biết về nghiên cứu mới được công bố của Eclypsium liên quan đến các lỗ hổng tiềm ẩn ảnh hưởng đến một số sản phẩm Tường lửa thế hệ tiếp theo của chúng tôi._
_Nhóm ứng phó sự cố bảo mật sản phẩm Palo Alto Networks đã đánh giá lỗ hổng tiềm ẩn này. Nhóm xác định rằng các kịch bản cần thiết để khai thác thành công không tồn tại trên phần mềm PAN-OS được cập nhật trong điều kiện bình thường với các giao diện quản lý được bảo mật được triển khai theo các hướng dẫn thực hành tốt nhất. Palo Alto Networks không biết về bất kỳ hành vi khai thác có chủ đích nào đối với các vấn đề này. Chúng tôi bảo vệ chất lượng và tính toàn vẹn của công nghệ của mình._
_Mặc dù các điều kiện cần thiết để khai thác các lỗ hổng này không khả dụng đối với người dùng hoặc quản trị viên phần mềm PAN-OS, chúng tôi đang làm việc với nhà cung cấp bên thứ ba để phát triển bất kỳ biện pháp giảm thiểu nào có thể cần thiết. Chúng tôi sẽ cung cấp thêm các bản cập nhật và hướng dẫn cho những khách hàng bị ảnh hưởng khi chúng khả dụng._
Trong một khuyến cáo riêng, Palo Alto Networks cũng nhấn mạnh rằng việc khai thác các lỗ hổng đã đề cập ở trên đòi hỏi kẻ tấn công trước tiên phải xâm phạm phần mềm PAN-OS thông qua các phương tiện khác và có được các đặc quyền nâng cao để truy cập hoặc sửa đổi chương trình cơ sở BIOS. Công ty này cũng cho biết rủi ro được giảm thiểu đáng kể bằng cách nâng cấp lên các phiên bản được hỗ trợ mới nhất.
Tuy nhiên, công ty thừa nhận rằng họ đang làm việc với các nhà cung cấp bên thứ ba để phát triển các bản cập nhật chương trình cơ sở cho sáu lỗ hổng được đánh dấu trong chương trình cơ sở UEFI của InsydeH2O có thể cần thiết cho dòng PA-3200, dòng PA-5200 và dòng PA-7200 có cài đặt Thẻ quản lý chuyển mạch (SMC-B).
_(Câu chuyện đã được cập nhật sau khi xuất bản để bao gồm phản hồi từ Palo Alto Networks.)_