Expedition: Unauthenticated OS Command Injection Vulnerability Leads to Firewall Credential Disclosure

Falha de injeção de comando de SO no Expedition, a ferramenta de migração de configurações da Palo Alto Networks (não é o PAN-OS, nem Panorama, nem Prisma Access, nem Cloud NGFW). Um atacante não autenticado executa comandos arbitrários como root na própria máquina do Expedition e extrai credenciais, chaves de API e configurações completas dos firewalls que foram importados ou gerenciados pela ferramenta. O CVSS 9.9 é justificado: não exige autenticação, não exige interação do usuário, e o impacto é total sobre o host do Expedition — mas só importa para quem roda essa ferramenta de migração, não para o parque de firewalls PAN-OS em si.

A vulnerabilidade é uma injeção de comando de sistema operacional (CWE-78) no Expedition, explorável sem autenticação, que permite execução arbitrária de comandos com privilégios de root no servidor onde a ferramenta está instalada. O advisory do fornecedor não detalha o endpoint, parâmetro ou fluxo de dados exato que sofre a injeção — apenas confirma a classe da falha e o resultado (execução como root).

O impacto real vem do que o Expedition guarda: ao ser usado para migrar configurações de outros fornecedores para PAN-OS, ele acumula em seu banco de dados e em arquivos locais usernames, senhas em texto claro, configurações de dispositivo e chaves de API de firewalls PAN-OS. Root no host do Expedition equivale a acesso de leitura total a esse acervo de credenciais — não é preciso escalar privilégios depois da injeção, já que o comando roda diretamente como root.

Esta CVE faz parte de um lote de cinco falhas divulgadas juntas no mesmo advisory (CVE-2024-9463 a CVE-2024-9467): outra injeção de comando que exige autenticação (CVE-2024-9464), uma SQL injection não autenticada (CVE-2024-9465), armazenamento de credenciais em texto claro (CVE-2024-9466) e um XSS refletido (CVE-2024-9467). O CVE-2024-9463 é o mais grave do lote por não exigir nenhuma pré-condição de acesso.

O fornecedor atribui a descoberta a Enrique Castillo, da própria Palo Alto Networks, o que sugere origem em auditoria interna somada a pesquisa externa (as demais CVEs do lote foram reportadas por pesquisador da Horizon3.ai).

Vetor de rede, sem autenticação, sem interação do usuário e com baixa complexidade de ataque segundo o próprio fornecedor (AV:N/AC:L/AT:N/PR:N/UI:N). O único pré-requisito real é acesso de rede à interface web do Expedition — não há necessidade de conta, token ou configuração não padrão adicional. Isso torna a falha automatizável e apta a scanners de massa, o que é coerente com a existência de template Nuclei e PoC pública.

A CISA confirma exploração ativa em ambiente real tanto para esta CVE quanto para a SQL injection CVE-2024-9465 do mesmo advisory, o que motivou a inclusão no catálogo KEV em 14/11/2024 com prazo de correção até 05/12/2024. Não há indicação pública, nas fontes disponíveis, de que a exploração esteja associada a campanhas de ransomware.

O resultado final da exploração é acesso root ao servidor Expedition e, a partir dele, exfiltração do banco de dados e arquivos que contêm credenciais de firewalls PAN-OS geridos pela ferramenta — não comprometimento direto dos firewalls, mas material suficiente para comprometê-los depois, já que as senhas ficam em texto claro e as chaves de API são funcionais.

Atualizar para Expedition 1.2.96 ou versão posterior corrige todas as cinco falhas do advisório (CVE-2024-9463 a 9467). O fornecedor recomenda explicitamente rotacionar, após a atualização, todas as credenciais e chaves de API do próprio Expedition e também de todos os firewalls PAN-OS cujas credenciais passaram pela ferramenta — a atualização de versão não invalida credenciais já potencialmente vazadas.

Se a atualização imediata não for possível: restringir o acesso de rede ao Expedition a hosts e usuários autorizados (a interface não deveria estar exposta à internet nem a segmentos não confiáveis) e, se a ferramenta não estiver em uso ativo, desligá-la completamente. Essas são mitigações reais de superfície de ataque, mas não substituem o patch nem eliminam o risco caso a exposição controlada ainda inclua a origem do ataque.

O fornecedor não oferece um indicador de comprometimento confiável para esta CVE específica — o comando de verificação em `cronjobs` da tabela `pandb` publicado no advisório serve apenas para CVE-2024-9465 (SQL injection), não para a injeção de comando de SO tratada aqui. Assumir que a ausência desse indicador significa sistema limpo é um erro: não existe checagem forense publicada para CVE-2024-9463.

Não há indicador de comprometimento confiável publicado pelo fornecedor especificamente para CVE-2024-9463. O comando de verificação divulgado no advisory (consulta à tabela `cronjobs` do banco `pandb` via mysql) serve apenas para detectar indício de exploração da CVE-2024-9465 (SQL injection), não desta falha de injeção de comando. Na ausência de assinatura oficial, times de SOC devem procurar por logs de acesso não autenticado a endpoints do Expedition seguidos de execução de processos anômalos no host, e monitorar exfiltração de arquivos de banco de dados ou dumps contendo credenciais de firewalls PAN-OS.