Expedition: Missing Authentication Leads to Admin Account Takeover

Expedition, ferramenta da Palo Alto Networks para migrar configurações de outros fornecedores (Checkpoint, Cisco etc.) para PAN-OS, expõe uma função de reset de senha de administrador sem qualquer autenticação. Quem tiver acesso de rede à interface web do Expedition consegue assumir a conta admin sem credenciais, e a partir daí acessar segredos de configuração, credenciais e chaves de API de todos os dispositivos que foram importados na ferramenta. Está no catálogo KEV da CISA com exploração ativa confirmada, o que eleva a urgência muito além do que uma CVE "só de takeover de admin" normalmente sugeriria — o Expedition é essencialmente um cofre de credenciais de rede inteira.

A falha é CWE-306 (Missing Authentication for Critical Function). O Expedition roda em Ubuntu, exposto via Apache2/PHP com raiz web em /var/www/html, e contém um endpoint PHP que executa a rotina de reset de senha do administrador sem checar sessão, token ou qualquer credencial prévia. Pesquisadores da Horizon3.ai encontraram a existência dessa rotina simplesmente buscando por 'palo alto expedition reset admin password' — um post de fórum já descrevia o arquivo PHP usado localmente para esse fim, e a equipe confirmou que uma requisição HTTP direta ao mesmo endpoint, sem autenticação, também redefine a senha do admin pela via remota.

O atacante não controla nenhum parâmetro sofisticado: o pré-requisito é apenas alcançar a interface web do Expedition na rede. Não há elevação de complexidade, não há necessidade de interação do usuário, e a exploração é automatizável (confirmado pelo próprio vetor CVSS 4.0: AT:N, PR:N, UI:N).

O valor real do bug vai além do painel do Expedition. A ferramenta armazena, no banco MySQL local, chaves de API e credenciais de todos os dispositivos de rede integrados durante o processo de migração (tabelas como device_keys/devices). Com acesso de admin ao Expedition, um atacante enumera essas integrações e extrai credenciais de firewalls, roteadores e outros equipamentos que passaram pelo processo de conversão de configuração — inclusive, segundo a Horizon3, em um arquivo de debug (/home/userSpace/devices/debug.txt) que logava credenciais em texto claro apesar de a aplicação supostamente reter apenas as chaves de API (falha documentada separadamente como CVE-2024-9466).

O vetor é rede simples: uma requisição HTTP não autenticada contra o endpoint de reset de senha do Expedition. Não exige conta prévia, não exige configuração não padrão — só alcançar a porta web da aplicação. Isso torna a exploração trivialmente automatizável, o que explica a existência de módulo Metasploit e template Nuclei públicos, além de PoC divulgada.

Na prática documentada pela Horizon3.ai, o takeover de admin via CVE-2024-5910 é o primeiro elo de uma cadeia de comprometimento total do host: com a senha de admin redefinida, o atacante loga no painel, e usando qualquer sessão autenticada (mesmo com privilégios menores) explora um segundo bug de injeção de comando no arquivo CronJobs.php (CVE-2024-9464) para obter execução de código como usuário www-data no servidor Ubuntu subjacente. A partir daí, dump direto do MySQL local expõe todas as credenciais de dispositivos integrados.

A CISA confirma exploração ativa em ambientes reais (adicionado ao KEV em 07/11/2024, com prazo de correção até 28/11/2024), sem detalhar o ator ou a campanha. Dado o público-alvo do Expedition — equipes que centralizam credenciais de firewalls e outros equipamentos de borda durante migrações —, o impacto de um comprometimento bem-sucedido tende a ultrapassar a própria aplicação.

A correção do fornecedor é atualizar para Expedition 1.2.92 ou versão posterior, que fecha a rotina de reset sem autenticação. Não há qualquer versão informada abaixo de 1.2 como afetada além do range 1.2.x < 1.2.92 declarado pela Palo Alto.

Quando a atualização não é imediata, o único paliativo real endossado pelo fornecedor é restringir o acesso de rede ao Expedition a hosts e usuários autorizados — ou seja, tirar a interface da exposição direta (segmentação, firewall, VPN de gestão). Isso reduz drasticamente a superfície de ataque porque a falha depende inteiramente de alcançar a aplicação pela rede; não há mitigação de configuração dentro do próprio Expedition que neutralize a rotina vulnerável sem o patch.

Dado que o Expedition acumula credenciais de todos os dispositivos migrados, qualquer ambiente que teve uma instância exposta ou desatualizada antes do patch deve tratar como comprometidas todas as credenciais e chaves de API armazenadas nela — a atualização por si só não invalida segredos que já podem ter sido exfiltrados antes da correção. A CISA determina, para órgãos federais dos EUA, aplicar a mitigação do fornecedor ou descontinuar o uso do produto até isso ser feito.

O sinal mais direto é qualquer requisição HTTP não autenticada (sem sessão válida ou com sessão recém-criada de forma anômala) dirigida a rotinas de reset/gestão de credenciais do Expedition, partindo de IPs que não deveriam ter acesso administrativo — especialmente se a interface está exposta além da rede de gestão. Como a exploração não deixa rastro de credencial válida (é exatamente ausência de autenticação), logs de acesso do Apache no host Expedition e alterações inesperadas na senha/sessão do usuário admin sem correlação com login legítimo são os indicadores mais confiáveis.

A existência de módulo Metasploit e template Nuclei públicos significa que scanners automatizados de internet provavelmente já testam esse endpoint; presença de tráfego de scanning genérico contra a porta web do Expedition deve ser tratada como sinal de reconhecimento ativo, mesmo sem confirmação de sucesso.