Luka DoS w firewallach Palo Alto Networks

Hakerzy wykorzystują podatność CVE-2024-3393 w oprogramowaniu PAN-OS, która umożliwia przeprowadzenie ataku Denial of Service (DoS), skutkującego restartem firewalli Palo Alto Networks. Wielokrotne wykonanie ataku może doprowadzić do trybu konserwacyjnego urządzenia, wymagając ręcznej interwencji w celu jego przywrócenia.

Podatność dotyczy funkcji DNS Security, gdzie nieautoryzowany napastnik może przesłać spreparowany pakiet przez firewall, powodując jego natychmiastowy restart.

Ataki w praktyce

Eksploitowanie tej luki pozwala na:

• Przesłanie specjalnie spreparowanych pakietów DNS do podatnego urządzenia.
• Wywołanie restartu firewalla i jego czasowe unieruchomienie.
• Wprowadzenie urządzenia w tryb konserwacji, wymagający ręcznego przywrócenia działania.

Podatność dotyczy wyłącznie urządzeń z włączonym logowaniem DNS Security.

Wersje oprogramowania podatne na atak

Producent potwierdził, że CVE-2024-3393 dotyczy wybranych wersji PAN-OS, natomiast problem został naprawiony w:

• PAN-OS 10.1.14-h8
• PAN-OS 10.2.10-h12
• PAN-OS 11.1.5
• PAN-OS 11.2.3 i nowszych wersjach.

Wersja PAN-OS 11.0 nie otrzyma poprawki, ponieważ osiągnęła status End-of-Life (EOL) w listopadzie 2024 r.

Tymczasowe rozwiązania dla użytkowników

Jeśli natychmiastowa aktualizacja nie jest możliwa, Palo Alto Networks zaleca tymczasowe wyłączenie logowania DNS Security, co minimalizuje ryzyko ataku:

1. Dla NGFW zarządzanych lokalnie lub przez Panorama:

   • Przejdź do: Objects → Security Profiles → Anti-spyware → DNS Policies → DNS Security.
   • Ustaw Log Severity na „none” dla wszystkich kategorii DNS Security.
   • Zapisz zmiany i przywróć logowanie po aktualizacji.

2. Dla NGFW zarządzanych przez Strata Cloud Manager (SCM):

   • Wyłącz logowanie DNS Security na każdym NGFW (zgodnie z powyższymi krokami) lub
   • Poproś wsparcie techniczne o globalne wyłączenie logowania DNS Security w całej infrastrukturze.

3. Dla użytkowników Prisma Access zarządzanych przez Strata Cloud Manager:

   • Złóż zgłoszenie do wsparcia technicznego o wyłączenie DNS Security Logging dla wszystkich urządzeń.

W przypadkach krytycznych możliwe jest również przyspieszenie aktualizacji Prisma Access poprzez zgłoszenie prośby o ekspresowe wdrożenie poprawki.

Luka CVE-2024-3393 stanowi poważne zagrożenie, umożliwiając atak DoS na firewalle Palo Alto Networks poprzez pakiety DNS. Użytkownicy powinni natychmiast zaktualizować oprogramowanie PAN-OS lub zastosować obejścia, aby uniknąć przerw w działaniu systemu zabezpieczeń.