セキュリティ

SECURITY

Learn

公開：

【CVE-2024-0012】Palo Alto NetworksのPAN-OSに認証バイパスの脆弱性、管理者権限取得のリスクが発覚

text: XEXEQ編集部
（記事は執筆時の情報に基づいており、現在では異なる場合があります）

関連するタグ
目次
  1. 記事の要約
  2. PAN-OSの認証バイパス脆弱性【CVE-2024-0012】
  3. PAN-OS脆弱性の影響範囲まとめ
  4. 認証バイパスについて
  5. PAN-OSの認証バイパス脆弱性に関する考察
  6. 参考サイト

記事の要約

  • PAN-OSにおける認証バイパスの脆弱性が発見
  • 未認証の攻撃者が管理者権限を取得可能
  • PAN-OS 10.2から11.2までが影響対象

PAN-OSの認証バイパス脆弱性【CVE-2024-0012】

Palo Alto Networksは2024年11月18日、PAN-OSソフトウェアの管理用Webインターフェースにおける認証バイパスの脆弱性【CVE-2024-0012】を公開した。本脆弱性により未認証の攻撃者が管理者権限を取得し管理操作を実行できる可能性があるほか、CVE-2024-9474などの認証済み特権昇格の脆弱性を悪用することも可能となっている。[1]

影響を受けるバージョンはPAN-OS 10.2からPAN-OS 11.2までとなっており、Cloud NGFWやPrisma Accessは影響を受けないことが確認されている。本脆弱性のリスクは、管理用Webインターフェースへのアクセスを信頼できる内部IPアドレスのみに制限することで大幅に軽減されることが明らかになっている。

CISAによる評価では、本脆弱性は自動化可能な攻撃手法であり、技術的な影響が重大であることが指摘されている。CVSSスコアは最大9.3（重大）を記録しており、早急な対策が必要とされる脆弱性として認識されている。

PAN-OS脆弱性の影響範囲まとめ

製品 影響状況 対象バージョン 修正バージョン
PAN-OS 11.2 影響あり 11.2.0以降 11.2.4-h1
PAN-OS 11.1 影響あり 11.1.0以降 11.1.5-h1
PAN-OS 11.0 影響あり 11.0.0以降 11.0.6-h1
PAN-OS 10.2 影響あり 10.2.0以降 10.2.12-h2
Cloud NGFW 影響なし 全バージョン 対応不要

認証バイパスについて

認証バイパスとは、システムやアプリケーションの認証メカニズムを迂回して不正にアクセスを取得する脆弱性のことを指す。主な特徴として以下のような点が挙げられる。

  • 正規の認証プロセスを回避して権限を取得
  • 管理者レベルの特権を不正に獲得可能
  • システムの重要機能への不正アクセスを許可

本脆弱性はPAN-OSの管理用Webインターフェースにおける認証バイパスであり、CWE-306（重要な機能に対する認証の欠落）に分類されている。未認証の攻撃者がネットワークアクセスを持つ場合、管理者権限を取得して設定の改ざんや他の脆弱性の悪用が可能となるため、早急な対策が必要とされている。

PAN-OSの認証バイパス脆弱性に関する考察

本脆弱性の特筆すべき点は、管理者権限の取得が可能となる深刻度の高さと、攻撃の自動化が可能という点にある。特に管理用Webインターフェースが外部からアクセス可能な状態で運用されている環境では、設定の改ざんや権限昇格など重大な影響を受ける可能性が高いことが懸念される。

今後の対策として、管理インターフェースへのアクセス制限の徹底が重要となっている。具体的には信頼できる内部IPアドレスからのアクセスのみを許可する設定や、VPNを介したアクセスの強制など、多層的な防御策の実装が求められるだろう。

長期的な観点からは、認証機構の強化や定期的な脆弱性診断の実施が重要となる。特にファイアウォールなどの重要なセキュリティ機器においては、管理インターフェースの保護が最も重要な要素の一つとなることから、継続的なセキュリティ強化が必要不可欠だ。

参考サイト

  1. ^ CVE. 「CVE Record | CVE」. https://www.cve.org/CVERecord?id=CVE-2024-0012, (参照 24-11-22).

※上記コンテンツはAIで確認しておりますが、間違い等ある場合はコメントよりご連絡いただけますと幸いです。

「セキュリティ」に関するコラム
「セキュリティ」に関するコラム一覧
「セキュリティ」に関するニュース
「セキュリティ」に関するニュース一覧
ブログに戻る
ALL
トピックス
2024年 11月 22日
サイバー・バズがBe One Agentを提供開始、Z世代注目のTikTokクリエイターB.B. ALIEとMC TAKAが参画しインフルエンサーマーケティングを強化
2024年 11月 22日
シンセカイテクノロジーズのMURAコミュニティが地方WEB3連携協会と提携し、地方創生の取り組みを本格化
2024年 11月 22日
名古屋市教育委員会が小学生向けキャリア講座を開催、公務員と起業家の二刀流人生を学ぶ機会を提供し高評価を獲得
2024年 11月 22日
C&R社がLive2Dクリエイター向けイベントalive 2024に協賛、2DCG PlaNetStudioがブース出展とトークセッションを実施
2024年 11月 22日
CyberZがMeta Agency First Awards 2024のBest Solution Award App部門で単独受賞、アプリ広告市場での実績が評価
 最新のIT情報を見る
2024年11月22日
サイバー・バズがBe One Agentを提供開始、Z世代注目のTikTokクリエイターB.B. ALIEとMC TAKAが参画しインフルエンサーマーケティングを強化
2024年11月22日
シンセカイテクノロジーズのMURAコミュニティが地方WEB3連携協会と提携し、地方創生の取り組みを本格化
2024年11月22日
名古屋市教育委員会が小学生向けキャリア講座を開催、公務員と起業家の二刀流人生を学ぶ機会を提供し高評価を獲得
2024年11月22日
C&R社がLive2Dクリエイター向けイベントalive 2024に協賛、2DCG PlaNetStudioがブース出展とトークセッションを実施
2024年11月22日
CyberZがMeta Agency First Awards 2024のBest Solution Award App部門で単独受賞、アプリ広告市場での実績が評価
 「ITトピックス」
2024年11月の閲覧数ランキング

コメントを残す

コメントは公開前に承認される必要があることにご注意ください。