Palo Alto ha publicado 1 aviso de seguridad que contempla 1 vulnerabilidad, clasificada con severidad Media. Dicha vulnerabilidad afecta a su producto GlobalProtect.
Severidad Media
CVE-2024-5921 [CVSSv4.0: 5.6]
Aplicación GlobalProtect: la validación insuficiente de certificados conduce a una escalada de privilegios
Un problema de validación de certificación insuficiente en la aplicación GlobalProtect de Palo Alto Networks permite a los atacantes conectar la aplicación GlobalProtect a servidores arbitrarios. Esto puede permitir que un atacante instale certificados raíz maliciosos en el punto final y, posteriormente, instale software malicioso firmado por los certificados raíz maliciosos en ese punto final.
Nota: Palo Alto Networks no tiene conocimiento de ninguna explotación maliciosa de este problema, sin embargo tienen conocimiento de una conferencia disponible públicamente en la que se analiza este problema.
Hallazgos:
Buscamos la conferencia y encontramos este video en Youtube, relacionado a la explotación de vulnerabilidades en clientes con GlobalProtect (min 23:03).
Adicionalmente buscando en la comunidad de ciberseguridad, se detectó este post en X que da a conocer instancias expuestas a nivel global, no necesariamente vulnerables.
Plan de acción
- Asegúrese de utilizar GlobalProtect 6.2.6 o superior, ya que estas versiones incluyen correcciones para vulnerabilidades conocidas.
- Use el parámetro FULLCHAINCERTVERIFY=»yes» durante la instalación para garantizar que la aplicación valide correctamente la cadena completa de certificados:
msiexec.exe /i GlobalProtect64.msi FULLCHAINCERTVERIFY=»yes»
- Configure el almacenamiento de certificados con parámetros explícitos para minimizar configuraciones inseguras:
msiexec.exe /i GlobalProtect64.msi FULLCHAINCERTVERIFY=»yes» CERTSTORE=»machine» CERTLOCATION=»ROOT»
CERTSTORE: Usa «machine» (recomendado) para almacenar certificados a nivel del sistema.
CERTLOCATION: Usa «ROOT» (recomendado) para cargar certificados desde la raíz del almacén.
Fuentes Utilizadas
https://security.paloaltonetworks.com/CVE-2024-5921
