10 em cada 10! Falha crítica nos firewalls de Palo Alto coloca as organizações em risco – Against Invaders – Notícias de CyberSecurity para humanos.

Antonio Piazzolla:2 Outubro 2025 14:44

Nos últimos dias, surgiu uma vulnerabilidade particularmente grave no PAN-OS, o sistema operacional dos firewalls da Palo Alto Networks, afetando GlobalProtec VPN portais expostos à internet. A falha, identificada como CVE-2024-3400, tem a maior gravidade (CVSS 10.0) porque pode ser explorado remotamente, sem autenticação, para criar arquivos arbitrários no dispositivo e, sob certas condições, executar comandos com privilégios de root. Este é um cenário clássico de “porta da frente” comprometida: quando a VPN está vulnerável, o impacto potencial afeta a continuidade dos negócios e a segurança interna.

Palo Alto lançou correções específicas: 10.2.9-h1, 11.0.4-h1 e 11.1.2-h3 . O problema afeta dispositivos locais com o GlobalProtect ativado; serviços em nuvem como o Prisma Access não são afetados. Em um contexto corporativo, o GlobalProtect é muitas vezes o único ponto de entrada para o trabalho remoto: seu papel estratégico requer considerar a vulnerabilidade não como um simples bug, mas como um risco sistêmico que pode resultar em movimento lateral, roubo de credenciais e interrupções de serviço.

Como os invasores agem

Os pesquisadores observaram varreduras massivas e tentativas de exploração contra endpoints conhecidos (por exemplo, /ssl-vpn/hipreport.esp ). O ataque manipula cabeçalhos de sessão – particularmente bolinhos – para enganar o dispositivo em Escrevendo arquivos para locais controlados. A cadeia típica é linear: primeiro, uma “sonda” ou arquivo malicioso é carregado , então sua existência é Verificado com uma solicitação GET e, finalmente, é Reutilizado ou movido para executar comandos . A simplicidade da sequência, combinada com a falta de autenticação, explica sua periculosidade.

Mitigações prioritárias

A medida chave é para atualizar imediatamente para as versões corrigidas (10.2.9-h1, 11.0.4-h1, 11.1.2-h3). Paralelamente, é útil para habilitar/atualizar as assinaturas do Threat Prevention publicado por Palo Alto para interceptar tentativas conhecidas. Sempre que possível, Reduza a superfície de ataque : restringir o acesso com listas de permissões de IP ou geofencing, instalar um WAF/proxy reverso capazes de reconhecer padrões anômalos e Desativar funcionalidade desnecessária no portal. Verificar Permissões e propriedade dos diretórios servidos pelo portal reduz ainda mais o risco.

Precisamente porque o gateway de VPN abrange os limites internos e externos, ou seja, geralmente é o Ponto de entrada único para trabalho remoto, um comprometimento pode abrir a porta para exfiltração de dados, interceptação de tráfego e até mesmo cenários de sabotagem (DoS ou limpeza de dispositivo). Nenhuma credencial ou interação do usuário é necessária: tudo o que é necessário é que o portal seja acessível pela Internet. Daí a urgência de priorizar a aplicação de patches e o monitoramento.

O monitoramento deve ser direcionado. GlobalProtect (GPSvc) Os logs devem identificar IDs de sessão anômalas , Travessia de caminho tentativas, e Cadeias de caracteres de shell ; Pedidos incomuns para os endpoints mencionados acima e a possível criação de arquivos em caminhos como /var/appweb/sslvpndocs também deve ser detectado. Se um SIEM estiver em vigor, é aconselhável configurar pesquisas e alertas para cabeçalhos de cookies não padrão pedir picos de volume e Sequências de erro HTTP indicativo de acesso ou tentativas de sondagem. Até que as verificações sejam concluídas, cada dispositivo exposto deve ser considerado potencialmente comprometido : logs e arquivos recentes devem ser analisados, possível mecanismos de persistência (webshell, scripts, tarefas agendadas) devem ser investigadas, configurações e ACLs deve ser revisado e o Rotação de credenciais administrativas e Certificados associados ao portal devem ser avaliados.

Impactos concretos

Um comprometimento do gateway de VPN pode ter efeitos em cascata. No dispositivo, o invasor pode ganhar persistência (webshell, backdoor), altere as configurações e introduza mecanismos de execução automática. Na rede interna, eles podem usar o dispositivo como um pivô para servidores e estações de trabalho, tente exfiltração , interceptar tráfego ou excluir/bloquear Serviços. Resumindo, é um pequeno passo da borda da rede para o interior.

Resumindo: atualize imediatamente, monitore de forma inteligente, reduza a exposição e repense a arquitetura. Um firewall não é uma parede imutável: é um sistema crítico que deve ser protegido, monitorado e mantido com a mesma disciplina que aplicamos a outros componentes de infraestrutura.

Além das medidas imediatas, este incidente sugere considerações de médio prazo. Contar com um único gateway como ponto de confiança é conveniente, mas arriscado: vale a pena introduzir redundância e diversificação de controles de perímetro e acelerar a adoção de modelos Zero Trust/ZTNA, que mudam a confiança da rede de perímetro para a identidade. Por fim, é crucial incluir dispositivos de rede, não apenas servidores e endpoints, em um ciclo robusto de gerenciamento de vulnerabilidades e patches, com janelas de manutenção regulares, testes de reversão e telemetria centralizada como um requisito por design.