Palo Altoの移行ツールに脆弱性 - ファイアウォールの認証情報などが漏洩するおそれ

「CVE-2024-9464」も同じくOSコマンドインジェクションの脆弱性で情報漏洩のおそれがあり、CVSS基本値が「9.3」と評価されている。さらにSQLインジェクションの脆弱性「CVE-2024-9465」もCVSS基本値が「9.2」と続いた。

同社はこれらの脆弱性を修正し、認証情報やAPIの保存方法を見直した「Expedition 1.2.96」をリリースした。アップデート時に平文で保存されたファイルは削除されるという。

またアップデートにより脆弱性を修正したあとは「Expedition」や同ソフトで処理される「PAN-OS」のユーザー名、パスワード、APIキーをすべて変更する必要があると説明している。