Objet: [MàJ] Vulnérabilité dans Palo Alto Networks GlobalProtect

Résumé

[Mise à jour du 10 mai 2024] Le CERT-FR est intervenu pour le traitement d'une compromission par rançongiciel au sein d'une entité française. Dans le cadre de cette attaque, la vulnérabilité a été exploitée pour ensuite réaliser une latéralisation dans le système d'information de la victime et déployer le rançongiciel.

Par ailleurs, l'éditeur recommande l'ouverture d'un dossier de support et l'exécution d'une version améliorée de la remise en état d'usine (enhanced factory reset) [6] dans le cas où un équipement n'aurait pas été mis à jour avant le 25 avril 2024 ou si l'éventualité d'une compromission persistante ne peut pas être écartée après investigation.

[Mise à jour du 26 avril 2024]

Note importante : Si un équipement a déjà été compromis, l'application du correctif de sécurité ne suffit pas. Si des investigations n'ont pas été réalisées, elles doivent être faites pour s'assurer que l'équipement n'a pas été compromis avant sa mise à jour. En effet, dans ce cas, une remise en état d'usine sera requis.

[Mise à jour du 25 avril 2024]

Le CERT-FR a pris connaissance de cas d'exploitation de cette vulnérabilité par des acteurs rançongiciels.

Par ailleurs, les mesures de remédiation ont fait l'objet d'une clarification : la remise en état d'usine (factory reset) est fortement recommandée dans tous les cas, sauf contre-ordre explicite de l’éditeur.

[Mise à jour du 19 avril 2024] Ajout de mesures de remédiation

Détection de la compromission

Il est recommandé de faire une demande d'assistance auprès de Palo Alto Networks au travers du portail de support (Customer Support Portal, CSP) en transmettant un technical support file (TSF) pour déterminer si les journaux de l'équipement contiennent des traces de tentatives d'exploitation de la vulnérabilité ([1]). Le fichier TSF contient des données sensibles et doit être stocké et transmis avec précautions.

De plus, le CERT-FR recommande également la recherche des éléments de compromission (adresses IP et condensats de fichiers) décrits dans [1], [2] et [3].

Mesures d'endiguement

En cas de suspicion ou de compromission avérée de l'équipement, les étapes suivantes doivent être suivies :

1. Isoler l’équipement d'Internet, sans l'éteindre ;
2. Si l’équipement est une machine virtuelle, prendre un instantané (snapshot) incluant la mémoire vive à des fins d’investigation
   • Sinon, exporter les journaux pour éviter leur rotation ;
3. Parallèlement, identifier les comptes du domaine Active Directory qui seraient configurés sur l'équipement suspecté. Réinitialiser les secrets associés à ces comptes afin d'éviter que l'attaquant ne puisse réutiliser ailleurs les identifiants éventuellement volés sur l'équipement.

Étapes d'investigation

1. Contacter le support Palo Alto Networks pour qu'il investigue le fichier TSF préalablement exporté
   • Le support voudra potentiellement se connecter à l'équipement pour approfondir l'investigation. Il faudra alors rétablir l'accès Internet au strict nécessaire ;
2. Rechercher sur l’équipement des comptes à privilège ajoutés illégitimement ;
3. En parallèle, rechercher dans les journaux du réseau (pare-feu, netflow, DNS) les traces de communications inhabituelles initiées depuis l'équipement ;
4. Rechercher dans les journaux de connexion des systèmes internes des traces de connexion (applicative ou système) provenant de l'adresse IP de gestion de l'équipement.

Remédiation

Les étapes de remédiations suivantes doivent être suivies. Le support Palo Alto Networks est également susceptible de communiquer un processus de remédiation.

1. Exporter la configuration ;
2. Réaliser une remise en état d'usine (Factory Reset), sauf contre-ordre explicite de l'équipe support de l'éditeur ; (mise à jour du 25 avril 2024)
3. Mettre à jour l'équipement jusqu'à la version contenant le dernier correctif de sécurité ;
4. Réimporter la configuration ;
5. Renouveler la clé de chiffrement principale (Master Key) [5] ;
6. Renouveler les secrets d'authentification de l'équipement et révoquer les anciens certificats.

[Mise à jour du 18 avril 2024] Le CERT-FR a connaissance d'incidents liés à l'exploitation de la vulnérabilité.

Le CERT-FR a connaissance de plusieurs compromissions avérées en lien avec la vulnérabilité. Cette alerte sera mise à jour avec des compléments d'information.

[Mise à jour du 17 avril 2024] Le CERT-FR a connaissance de codes d'exploitation publics et de tentatives d'exploitation

Le CERT-FR a connaissance de codes d'exploitation publics et de tentatives d'exploitation qui pourraient évoluer vers des exploitations massives de la vulnérabilité. Le CERT-FR recommande donc de déployer les correctifs diffusés par l'éditeur dans les meilleurs délais. Veuillez vous référer à la section "Solution" pour plus de détails.

[Publication initiale]

Une vulnérabilité a été découverte dans la fonctionnalité GlobalProtect de Palo Alto Networks PAN-OS. Elle permet à un attaquant de provoquer une exécution de code arbitraire à distance.

L'éditeur indique que la vulnérabilité CVE-2024-3400 est exploitée dans des attaques ciblées.

Contournement provisoire

[Mise à jour du 17 avril 2024] Mise à jour des mesures de contournement

L'éditeur présentait précédemment la désactivation de la télémétrie comme mesure de contournement. Cette mesure n'est plus considérée comme efficace et la vulnérabilité peut être exploitée même si la télémétrie est désactivée.

[Publication initiale]

Le CERT-FR recommande d'appliquer les mesures de contournement documentées par l'éditeur dans son avis de sécurité à la section Workarounds and Mitigations (cf. section Documentation).

Solution

[Mise à jour du 19 avril 2024] Publication des dernières versions correctives

Les versions correctives 10.2.0-h3, 10.2.1-h2, 10.2.2-h5, 10.2.3-h13, 10.2.4-h16, 11.0.0-h3 et 11.0.1-h4  ont été publiées.

[Mise à jour du 17 avril 2024] Ajout de versions correctives

Les versions correctives PAN-OS 10.2.6-h3, PAN-OS 10.2.5-h6, PAN-OS 11.0.3-h10, PAN-OS 11.0.2-h4, PAN-OS 11.1.1-h1 et PAN-OS 11.1.0-h3 ont été publiées.

[Mise à jour du 16 avril 2024] Ajout de versions correctives

Les versions correctives PAN-OS 10.2.8-h3 et PAN-OS 10.2.7-h8 ont été publiées.

[Mise à jour du 15 avril 2024] Publication des premières versions correctives

Les mises à jour suivantes contiennent un correctif de sécurité : PAN-OS 10.2.9-h1, PAN-OS 11.0.4-h1 et PAN-OS 11.1.2-h3. L'éditeur indique que des versions correctives pour les autres versions communément déployées seront publiées progressivement jusqu'au 19 avril 2024.

[Publication initiale]

Palo Alto Networks a annoncé qu'un correctif sera disponible le 14 avril 2024.

Le CERT-FR recommande de consulter régulièrement les annonces de l'éditeur pour la mise à disposition des correctifs.