「PAN-OS」脆弱性、攻撃条件を修正 - 一部緩和策が「効果なし」に

Palo Alto Networks製のファイアウォールに搭載されている「PAN-OS」にゼロデイ脆弱性が見つかった問題で、攻撃が可能となる環境の条件が修正された。これまで条件を変更することが緩和策のひとつとしてアナウンスされてきたが、効果がないため注意が必要だ。

同社は現地時間4月12日、「PAN-OS」が備えるリモートアクセスVPN機能「GlobalProtect」におけるコマンドインジェクションの脆弱性「CVE-2024-3400」を公表。3月下旬より悪用が確認されており、同社は緩和策をアナウンスするとともに現地時間4月14日より順次アップデートを提供している。

同社は、当初セキュリティアドバイザリにおいて「GlobalProtect」と「デバイステレメトリ機能」のいずれも有効化している場合に影響を受けると説明していたが、同月17日にアドバイザリを更新し、同条件を見直した。

「デバイステレメトリ機能」については、有効化していない状態でも攻撃が成立すると説明。「デバイステレメトリ機能」を無効化することを緩和策のひとつとしてきたが、無効の状態であっても攻撃にさらされるおそれがあり、異なる対策を講じる必要がある。

同社では順次アップデートをリリースしており、回避策や緩和策を適用済みであっても修正版へ早急にアップデートし、デバイスを保護するよう求めている。

記事修正のお知らせ：アドバイザ公表当初、脆弱性は「GlobalProtect」を構成している場合に影響があるとされていましたが、その後「GlobalProtect portal」を構成している場合も影響があると修正されていることから一部記載を見直しました。

（Security NEXT - 2024/04/17 ）ツイート