Palo Alto Networks
防火墙业者Palo Alto Networks本周发布安全公告，并修补平台转移工具Palo Alto Networks Expedition上可能造成程式码执行、密码外泄与钓鱼攻击等多项重大风险漏洞。
这批修补的漏洞包括编号CVE-2024-9463到CVE-2024-9467的7项漏洞，皆是与Palo Alto用于将防火墙设备由其他品牌转移的软体工具Expedition有关。首先CVE-2024-9463及CVE-2024-9464为OS指令注入漏洞，以根权限执行任意OS指令，滥用二漏洞皆能导致PAN-OS防火墙的使用者名称、明文储存的密码、装置配置和装置API泄露，其中CVE-2024-9463 CVSS风险值达9.9，CVE-2024-9464则为9.4。
CVE-2024-9465为SQL注入漏洞，滥用的结果可导致未经授权的攻击者外泄Expedition资料库内容，像是密码杂凑、用户名称、装置配置和装置API，攻击者还可利用这些资讯在Expedition系统读取和新增任意档案。该漏洞风险值为9.2。CVE-2024-9466则是明码储存的敏感资讯漏洞，让获得授权的攻击者泄露防火墙用户名称、密码及利用这些产生的API金钥，风险值8.2。
最后一项CVE-2024-9467是Expedition的反射跨站指令码（cross-site scripting，XSS）攻击，可让攻击者传送恶意连结发动钓鱼攻击，导致Expedition浏览器会话劫持，而在授权的用户浏览器上执行恶意JavaScript。
Palo Alto表示这批漏洞不影响Palo Alto防火墙产品、中央管理平台Panorama、远端办公室安全存取闸道Prisma Access或云端防火墙Cloud NGFW。
图片来源／Palo Alto Networks
Palo Alto已发布Expedition 1.2.96修补所有漏洞，其中CVE-2024-9466在更新后会自动移除。厂商尚未发现上述漏洞有被恶意滥用的情形，但是复制攻击的手法已经公开，因此Palo Alto呼吁，在更新软体后，所有Expedition用户名、密码和API金钥，或是经Expedition处理的防火墙用户名、密码和API金钥都应轮换。
未能立即安装最新版本的用户则应将Expedition授权用户或主机、网路限缩，若Expedition没有使用，则应予以关闭。