CISA: Pravkar razkrita napaka požarnega zidu Palo Alto Networks pod aktivnim izkoriščanjem

Ameriška agencija za kibernetsko varnost in varnost infrastrukture (CISA) opozarja, da se zelo resna varnostna ranljivost v požarnih zidovih Palo Alto Networks aktivno izkorišča v naravi.

Napaka (CVE-2022-0028, z oceno resnosti CVSS 8.6) obstaja v operacijskem sistemu PAN-OS, ki poganja požarne zidove, in bi lahko oddaljenemu akterju grožnje omogočila zlorabo požarnih zidov za uvedbo porazdeljene zavrnitve storitve (DDoS) napade na tarče po lastni izbiri — brez preverjanja pristnosti.

Izkoriščanje težave lahko pomaga napadalcem prikriti sledi in lokacijo.

»Zdi se, da napad DoS izvira iz požarnega zidu PA-Series (strojna oprema), VM-Series (virtualni) in CN-Series (vsebnik) Palo Alto Networks proti tarči, ki jo je določil napadalec,« v skladu z izdanim svetovalom Palo Alto Networks v začetku tega meseca.

»Dobra novica je, da ta ranljivost napadalcem ne omogoča dostopa do notranjega omrežja žrtve,« pravi Phil Neray, podpredsednik strategije kibernetske obrambe pri CardinalOps. "Slaba novica je, da lahko ustavi poslovno kritične operacije [pri drugih ciljih], kot je sprejemanje naročil in obravnavanje zahtev za storitve za stranke."

Opozarja, da napadov DDoS ne izvajajo samo majhni moteči akterji, kot se pogosto domneva: "DDoS so v preteklosti uporabljale nasprotne skupine, kot je APT28, proti Svetovni protidopinški agenciji."

Napaka se pojavi zaradi napačne konfiguracije pravilnika za filtriranje URL-jev.

Primerki, ki uporabljajo nestandardno konfiguracijo, so ogroženi; za izkoriščanje mora imeti konfiguracija požarnega zidu profil za filtriranje URL-jev z eno ali več blokiranimi kategorijami, dodeljenimi varnostnemu pravilu z izvornim območjem, ki ima zunanji omrežni vmesnik, svetovalno branje.

Izkoriščan v divjini

Dva tedna po tem razkritju je CISA dejala, da je zdaj opazila, da so hrošča sprejeli kibernetski nasprotniki v divjini, in jo je dodala svoji Katalog znanih izkoriščenih ranljivosti (KEV).. Napadalci lahko napako izkoristijo za uvedbo tako odbitih kot razširjenih različic poplav DoS.

Bud Broomhead, izvršni direktor podjetja Viakoo, pravi, da je povpraševanje po hroščih, ki jih je mogoče preusmeriti v storitev za podporo napadom DDoS, vedno večje.

»Zmožnost uporabe požarnega zidu Palo Alto Networks za izvajanje odbitih in ojačanih napadov je del splošnega trenda uporabe ojačanja za ustvarjanje množičnih napadov DDoS,« pravi. "Googlova nedavna napoved napada, ki je dosegel vrhunec pri 46 milijonih zahtev na sekundo, in drugi rekordni napadi DDoS se bodo bolj osredotočili na sisteme, ki jih je mogoče izkoristiti za omogočanje te stopnje povečanja."

Hitrost uporabe orožja se prav tako ujema s trendom kibernetskih napadalcev, ki potrebujejo vse manj časa, da začnejo delovati na novo razkrite ranljivosti, vendar to kaže tudi na povečano zanimanje za hrošče manjše resnosti s strani akterjev groženj.

»Naši raziskovalci prepogosto vidijo, da se organizacije premaknejo k popravku najresnejših ranljivosti najprej na podlagi CVSS,« je Terry Olaes, direktor prodajnega inženiringa pri Skybox Security, zapisal v elektronski izjavi. "Kiberkriminalci vedo, kako veliko podjetij skrbi za svojo kibernetsko varnost, zato so se naučili izkoristiti ranljivosti, ki se jim zdijo manj kritične, za izvedbo svojih napadov."

Ampak določanje prednosti popravkov še naprej predstavlja izziv za organizacije vseh vrst in velikosti, zahvaljujoč ogromnemu številu popravkov, ki so razkriti v določenem mesecu – skupno na stotine ranljivosti ki jih morajo ekipe IT pogosto triažirati in oceniti brez večjih navodil za nadaljevanje. In poleg tega Skybox Research Lab pred kratkim najdeno da so se nove ranljivosti, ki so jih izkoriščali v naravi, leta 24 povečale za 2022 %.

»Vsako ranljivost, na katero vas opozori CISA, če jo imate v svojem okolju, morate popraviti zdaj,« je za Dark Reading povedal Roger Grimes, evangelist podatkovno usmerjene obrambe pri KnowBe4. »[KEV] navaja vse ranljivosti, ki jih je uporabil kateri koli napadalec iz resničnega sveta za napad na katero koli tarčo iz resničnega sveta. Odlična storitev. In ni samo poln podvigov sistema Windows ali Google Chrome. Mislim, da bi bil povprečen človek, ki se ukvarja z računalniško varnostjo, presenečen nad tem, kaj je na seznamu. Poln je naprav, popravkov vdelane programske opreme, navideznih zasebnih omrežij, DVR-jev in kopice stvari, za katere hekerji tradicionalno ne menijo, da so zelo tarča.”

Čas za popravke in nadzor za kompromis

Za novo izkoriščeno napako PAN-OS so popravki na voljo v naslednjih različicah:

• PAN-OS 8.1.23-h1
• PAN-OS 9.0.16-h3
• PAN-OS 9.1.14-h4
• PAN-OS 10.0.11-h1
• PAN-OS 10.1.6-h6
• PAN-OS 10.2.2-h2
• In vse poznejše različice PAN-OS za požarne zidove serije PA, serije VM in serije CN.

Da bi ugotovili, ali je škoda že storjena, "morajo organizacije zagotoviti, da imajo na voljo rešitve, s katerimi je mogoče kvantificirati poslovni vpliv kibernetskih tveganj v gospodarski učinek," je zapisal Olaes.

Dodal je: »To jim bo pomagalo tudi pri prepoznavanju in razvrščanju najbolj kritičnih groženj na podlagi velikosti finančnega vpliva, med drugimi analizami tveganja, kot so ocene tveganja na podlagi izpostavljenosti. Prav tako morajo izboljšati zrelost svojih programov za obvladovanje ranljivosti, da zagotovijo, da lahko hitro odkrijejo, ali ranljivost vpliva nanje ali ne in kako nujno jo je odpraviti.«

Grimes ugotavlja, da je dobro, da se naročite tudi na e-pošto CISA KEV.

»Če se naročite, boste prejeli vsaj e-pošto na teden, če ne več, z informacijami o najnovejših izkoriščenih ranljivostih,« pravi. »To ni le problem družbe Palo Alto Networks. Niti zaradi domišljije."