SYS
SYSADMIN SKILLS
An ninh mạng⏱ 2 phút đọc

Palo Alto Networks vá lỗ hổng RCE trong PAN-OS đang bị tin tặc khai thác trên thực tế

Ngày đăng:
•
Nguồn:The Hacker News

Palo Alto Networks đã phát hành bản cập nhật cho hệ điều hành tường lửa PAN-OS sau khi ghi nhận các cuộc tấn công có chủ đích khai thác lỗ hổng thực thi mã từ xa (RCE) trên giao diện quản trị.

Ảnh minh họa: Palo Alto Networks vá lỗ hổng RCE trong PAN-OS đang bị tin tặc khai thác trên thực tế
📷The Hacker News · Lưu trữ local từ nguồn tin công khai chính thức

Chuyện gì vừa xảy ra

Hãng bảo mật hàng đầu Palo Alto Networks đã phát đi cảnh báo an ninh khẩn cấp kèm bản vá cho hệ điều hành tường lửa thế hệ mới PAN-OS. Lỗ hổng cho phép kẻ tấn công thực thi mã tùy ý với quyền hạn tối cao (root) trên thiết bị tường lửa.

Đáng báo động, Palo Alto Networks xác nhận họ đã quan sát thấy dấu hiệu khai thác trong thực tế (In-the-wild exploitation) nhắm vào các thiết bị để lộ giao diện web quản lý (management web interface) ra ngoài Internet công cộng.

Ai cần chú ý và phạm vi ảnh hưởng

  • Kỹ sư mạng (Network Engineers) và SysAdmin quản lý tường lửa cứng hoặc tường lửa ảo (VM-Series) của Palo Alto Networks trong doanh nghiệp và đám mây (AWS, Azure, GCP).
  • Đội ngũ Trung tâm Điều hành An ninh (SOC): Cần săn lùng mối đe dọa (threat hunting) để phát hiện xem thiết bị biên đã bị cắm backdoor hay chưa.

Tường lửa là chốt chặn bảo vệ toàn bộ mạng nội bộ doanh nghiệp. Khi thiết bị này bị xâm nhập, kẻ tấn công có thể nghe lén toàn bộ lưu lượng mạng, vô hiệu hóa các chính sách bảo mật và tạo đường hầm VPN quay ngược vào hạ tầng core.

Tác động vận hành

  • Mất kiểm soát hoàn toàn perimeter: Kẻ tấn công có thể can thiệp routing table, trích xuất chứng chỉ SSL/TLS dùng để giải mã traffic và dump cấu hình xác thực Active Directory/LDAP.
  • Yêu cầu khởi động lại thiết bị tường lửa: Quá trình nâng cấp firmware PAN-OS yêu cầu reload thiết bị, có thể gây gián đoạn mạng nếu không cấu hình High Availability (HA Active/Passive).

Điểm sysadmin và kỹ sư hạ tầng cần theo dõi

  1. Kiểm tra ngay việc expose cổng quản trị: Đảm bảo cổng web quản trị (thường là port 443 hoặc custom port) của tường lửa chỉ được truy cập từ mạng quản trị nội bộ (Management VLAN/Out-of-band) hoặc thông qua Jump Host an toàn, tuyệt đối không trỏ NAT trực tiếp từ IP WAN.
  2. Cập nhật firmware PAN-OS: Tải về và cài đặt ngay phiên bản bảo trì mới nhất cho các dòng PAN-OS 10.2, 11.0, 11.1 và 11.2 theo khuyến nghị từ vendor.
  3. Kiểm tra System Logs: Tìm kiếm các hoạt động đăng nhập lạ hoặc các phiên làm việc CLI/web bất thường từ các dải IP không xác định.

Kết luận

Các thiết bị mạng biên luôn là mục tiêu hàng đầu của các nhóm tin tặc APT. Việc duy trì nguyên tắc cách ly giao diện quản trị và vá firmware kịp thời là giải pháp sống còn.