พบ Hacker ใช้ช่องโหว่ DoS เพื่อหยุดการทำงานของ Palo Alto Firewall

Palo Alto Networks ออกแจ้งเตือนว่าพบ Hacker กำลังใช้ช่องโหว่ Denial of Service (DoS) CVE-2024-3393 เพื่อหยุดการทำงานของ Firewall โดยบังคับให้ Reboot

โดยการโจมตีช่องโหว่ดังกล่าวซ้ำ ๆ จะทำให้อุปกรณ์เข้าสู่ Maintenance Mode และต้องทำการแก้ไขด้วยตนเองเพื่อคืนค่าให้กลับมาทำงานได้ตามปกติ

ช่องโหว่ DoS ที่กำลังถูกใช้ในการโจมตีอย่างต่อเนื่อง
โดยช่องโหว่ดังกล่าวมีหมายเลข CVE-2024-3393 (คะแนน CVSS 8.7/10 ความรุนแรงระดับ High) เป็นช่องโหว่ Denial of Service ในฟีเจอร์ DNS Security ของซอฟต์แวร์ PAN-OS ของ Palo Alto Networks โดยทำให้ Hacker ที่จำเป็นต้องผ่านการยืนยันตัวตนสามารถส่ง packet ที่เป็นอันตรายผ่าน Data Plane ของ Firewall เพื่อสั่ง Reboot ซ้ำ ๆ เพื่อทำให้ไฟร์วอลล์เข้าสู่ Maintenance Mode ซึ่งทาง Palo Alto Networks ได้แจ้งว่าพบกลุ่ม Hacker ได้ใช้ช่องโหว่นี้ในการโจมตีเป้าหมายอยู่ในปัจจุบัน เนื่องจากผู้ใช้งานได้แจ้งปัญหาการหยุดทำงานเมื่อ Firewall ได้ Block DNS packets ที่เป็นอันตรายจาก Hacker ที่ใช้ช่องโหว่ดังกล่าวในการโจมตี

โดยช่องโหว่ดังกล่าวได้ถูกแก้ไขแล้วใน PAN-OS 10.1.14-h8, PAN-OS 10.2.10-h12, PAN-OS 11.1.5, PAN-OS 11.2.3 และรุ่นต่อ ๆ มา แต่ PAN-OS 11.0 ซึ่งได้รับผลกระทบจากช่องโหว่ CVE-2024-3393 จะไม่ได้รับการออกแพตซ์แก้ไขช่องโหว่ เนื่องจากเวอร์ชันดังกล่าวถึง End-of-Life (EOL) ไปแล้วเมื่อวันที่ 17 พฤศจิกายน 2024
 

รวมถึง Palo Alto Networks ได้เผยแพร่แนวทางแก้ปัญหา และขั้นตอนในการลดผลกระทบสำหรับผู้ที่ยังไม่สามารถอัปเดตได้ทันที :
สำหรับ NGFW ที่ managed โดย Panorama หรือ Prisma Access ที่ managed โดย Panorama :
     - ไปที่ Objects → Security Profiles → Anti-spyware → DNS Policies → DNS Security for each Anti-spyware profile
     - เปลี่ยน Log Severity เป็น "none" สำหรับ DNS Security categories ที่กำหนดค่าไว้ทั้งหมด
     - ยืนยันการเปลี่ยนแปลง และเปลี่ยนการตั้งค่า Log Severity กลับภายหลังจากที่ทำการอัปเดตแพตซ์

สำหรับ NGFW ที่ managed โดย Strata Cloud Manager (SCM) :
     ตัวเลือกที่ 1: Disable DNS Security logging โดยตรงบน NGFW แต่ละรายการโดยใช้ขั้นตอนข้างต้น
     ตัวเลือกที่ 2: Disable DNS Security logging สำหรับ NGFW ทั้งหมดใน tenant โดยการเปิด support case

สำหรับ Prisma Access ที่ managed โดย Strata Cloud Manager (SCM) :
     - เปิด support case เพื่อ Disable DNS Security logging สำหรับ NGFW ทั้งหมดใน tenant

หากมีความจำเป็นเร่งด่วนให้ส่ง request เพื่อเร่งรัดการอัปเกรด Prisma Access tenant ใน support case

ที่มา : bleepingcomputer

share :