PAN-OS: Privilege Escalation (PE) Vulnerability in the Web Management Interface

É uma falha de escalação de privilégios na interface web de administração do PAN-OS: um administrador autenticado consegue injetar comandos executados com privilégios de root no sistema operacional subjacente (CWE-78). Isoladamente exige credenciais de admin, o que limitaria o impacto — mas na prática ela foi explorada em massa encadeada com CVE-2024-0012 (bypass de autenticação na mesma interface), transformando a dupla em uma cadeia de RCE pré-autenticada completa contra firewalls com a interface de management exposta.

A vulnerabilidade está na aplicação PHP que serve a interface web de gerenciamento do PAN-OS (servida via Apache, atrás de um proxy Nginx), residente em /var/appweb/htdocs/. O CVE é classificado pelo fornecedor como CWE-78 (OS Command Injection): um dado que o administrador controla via requisição HTTP à interface web acaba sendo passado, sem neutralização adequada, para uma chamada de sistema executada com privilégios de root, permitindo que uma sessão administrativa (que normalmente roda com privilégios de aplicação, não de sistema) escale para root completo no appliance.

O controle de acesso da interface é feito via um header interno, X-Pan-Authcheck, definido pelo Nginx (arquivo proxy_default.conf) como 'on' por padrão e alterado para 'off' apenas em rotas específicas sem autenticação (como /unauth/). A pesquisa da watchTowr (comparando os binários 10.2.12-h1 vulnerável e 10.2.12-h2 corrigido) mostrou que esse mecanismo de roteamento e verificação de auth tinha uma falha de lógica (explorada por CVE-2024-0012) que permitia contornar a autenticação; uma vez com sessão administrativa — legítima ou obtida via bypass — o endpoint vulnerável à injeção de comando (CVE-2024-9474) ficava acessível.

O vetor CVSS 4.0 oficial (PR:H, UI:N, AT:N) reflete que, isoladamente, a exploração pressupõe privilégio de administrador já concedido — não é uma falha exposta a qualquer visitante da rede. O que eleva a urgência é o fato de essa interface de management, quando mal configurada, ser alcançável pela internet, e de existir outra CVE (0012) que fornece o privilégio de admin necessário sem credenciais.

Pré-requisito real: acesso de rede à interface web de management (porta HTTPS típica de management, incluindo cenários onde ela fica acessível via porta 4443 em interfaces com perfil de management associado a portais/gateways GlobalProtect — embora o GlobalProtect em si não seja vulnerável). Sem esse acesso de rede à interface administrativa, a CVE não é explorável remotamente por um atacante qualquer.

Na exploração observada em campo (rastreada pela Unit 42 como 'Operation Lunar Peek'), atacantes usaram CVE-2024-0012 para obter uma sessão com privilégio de administrador na interface web sem credenciais válidas, e então encadearam CVE-2024-9474 para executar comandos como root no appliance. Pesquisadores da watchTowr documentaram publicamente a mecânica da cadeia (a partir de 19/11/2024), e a Palo Alto Networks confirmou aumento expressivo de exploração automatizada e scanning logo depois — inclusive com PoC pública e módulo Metasploit disponíveis. O resultado final documentado inclui execução interativa de comandos, dropagem de web shells PHP ofuscadas, ferramentas de C2 open-source e mineradores de criptomoeda.

A gravidade prática, portanto, depende quase inteiramente de exposição: firewalls com a interface de management restrita a IPs internos confiáveis (a configuração recomendada e majoritária, segundo o próprio fornecedor) reduzem o CVSS efetivo de 6.9 para 5.9 e tornam a exploração remota impraticável, pois um atacante externo não tem como sequer alcançar o endpoint vulnerável.

A correção definitiva é atualizar para as versões com patch: PAN-OS 10.1.14-h6, 10.2.12-h2, 11.0.6-h1, 11.1.5-h1, 11.2.4-h1 ou posteriores. O fornecedor também publicou backports para diversas releases de manutenção intermediárias de cada branch (listadas no advisory), então convém verificar a versão de manutenção exata em uso antes de assumir que só a última hotfix de cada ramo resolve.

Se a atualização imediata não for possível, o paliativo real é restringir o acesso à interface web de management a endereços IP internos confiáveis, eliminando o acesso via internet ou redes não confiáveis — tanto no acesso direto à interface quanto via qualquer interface de dataplane com management profile associado. Essa restrição de rede não corrige a falha de código, mas remove o pré-requisito de alcance de rede que torna a exploração viável; segundo o fornecedor, é a mitigação padrão e já é seguida pela maioria dos ambientes.

Não funciona como mitigação: assumir que 'não expor GlobalProtect' resolve — o GlobalProtect Portal/Gateway em si não é vulnerável, mas se houver um management profile atrelado à mesma interface (comum em configurações que reaproveitam a porta 4443), a exposição à interface de management persiste mesmo com GlobalProtect fechado à exploração direta.

A Unit 42 identificou e publicou indicadores de comprometimento: um web shell PHP ofuscado (hash SHA256 3C5F9034C86CB1952AA5BB07B4F77CE7D8BB5CC9FE5C029A32C72ADC7E814668, que decodificado executa comandos via parâmetros POST 'b' e 'x') e uma string de User-Agent observada em múltiplas tentativas de exploração: 'Mozilla/5.0 (Windows NT 6.3; Trident/7.0; rv 11.0) like Gecko'. Também vale monitorar logs de acesso à interface de management originados de IPs associados a serviços de VPN anônima/proxy, tentativas de login anômalas ou execução interativa de comandos no shell do appliance, além de indicadores adicionais publicados no repositório Unit42-Timely-Threat-Intel no GitHub.

Esses indicadores refletem campanhas específicas observadas (Operation Lunar Peek) e não cobrem toda exploração possível — um atacante que evite reutilizar esses artefatos (webshell, user-agent) não deixaria esse sinal específico. Na ausência desses IOCs, o sinal mais confiável é qualquer requisição administrativa à interface de management originada de IP externo não autorizado, o que só é detectável se houver log de acesso habilitado e a interface não estiver isolada por whitelist.