PAN-OS CVE-2024-3400, Celah Firewall Palo Alto

CVE-2024-3400 adalah celah di sistem operasi firewall Palo Alto Networks (PAN-OS) yang membuat penyerang tanpa akun bisa menjalankan perintah apa pun sebagai root di perangkat. Celah ini ada di fitur GlobalProtect, layanan VPN yang memang sengaja dibuka ke internet agar karyawan bisa tersambung dari luar kantor.

Kenapa ini penting? Firewall adalah penjaga gerbang jaringan. Kalau perangkat ini sendiri dikuasai penyerang, semua lalu lintas, kredensial VPN, dan akses ke jaringan internal ikut terancam. Celah ini juga sudah dipakai menyerang sebelum perbaikannya tersedia, sehingga masuk kategori zero-day.

Apa yang terjadi pada April 2024?

Celah ini ditemukan oleh Volexity saat menyelidiki aktivitas mencurigakan di firewall pelanggannya. Palo Alto Networks menerbitkan peringatan keamanan pada 12 April 2024, di hari yang sama CISA memasukkannya ke katalog Known Exploited Vulnerabilities. Unit 42, tim riset ancaman Palo Alto Networks, menamai aktivitas serangan awal ini Operation MidnightEclipse.

Di hari-hari awal, hotfix belum tersedia untuk semua versi. Perbaikan dirilis bertahap, dan menurut catatan perubahan di halaman peringatan resmi, seluruh hotfix PAN-OS yang diperlukan tersedia pada 15 April 2024. Sesudah itu, contoh kode eksploit publik bermunculan dan jumlah serangan meningkat.

Siapa yang terdampak?

Syaratnya dua: versi PAN-OS tertentu dan fitur GlobalProtect yang aktif.

• Versi terdampak: PAN-OS 10.2, 11.0, dan 11.1 sebelum hotfix yang disebut di tabel bawah.
• Konfigurasi: firewall memiliki GlobalProtect gateway atau GlobalProtect portal. Cek di menu Network > GlobalProtect di antarmuka web.
• Tidak terdampak: PAN-OS 10.1, 10.0, 9.1, 9.0, serta Cloud NGFW, perangkat Panorama, dan Prisma Access.

Firewall VM-Series yang dikelola sendiri di cloud tetap bisa terdampak bila versi dan konfigurasinya memenuhi syarat di atas. Jangan lupa memeriksa perangkat cadangan atau perangkat di kantor cabang, karena versinya sering tertinggal dari perangkat utama.

Versi perbaikan per cabang

Untuk firewall di Azure, nomor hotfix ditulis dengan tambahan angka 0, misalnya 11.1.2-h3 menjadi 11.1.203. Versi yang lebih baru dari daftar ini tentu juga sudah membawa perbaikan.

Bagaimana celah ini bekerja?

Palo Alto Networks menggambarkan celahnya sebagai command injection yang berawal dari kemampuan membuat file sembarang di fitur GlobalProtect. Secara sederhana, penyerang mengirim permintaan yang membuat perangkat menulis file dengan nama hasil rekayasa. Nama file itu kemudian ikut terproses oleh komponen lain di sistem yang menjalankan perintah, sehingga isinya dieksekusi dengan hak root.

Karena tidak butuh login dan tidak butuh interaksi pengguna, nilai CVSS-nya maksimal 10.0. Penyerang juga tidak perlu menipu siapa pun, cukup mengirim permintaan ke alamat portal atau gateway VPN yang memang terbuka untuk umum. Semua perangkat yang memenuhi syarat dan menghadap internet bisa dipindai dan diserang secara otomatis.

Langkah yang perlu dilakukan

1. Cek versi dan konfigurasi. Lihat versi PAN-OS di dasbor perangkat dan pastikan apakah GlobalProtect gateway atau portal aktif.
2. Pasang hotfix sesuai cabang yang dipakai, atau naik ke versi yang lebih baru dalam cabang yang didukung.
3. Aktifkan perlindungan sementara bila belum bisa update. Pelanggan dengan langganan Threat Prevention dapat menerapkan Threat ID 95187, 95189, dan 95191 pada profil vulnerability protection di antarmuka GlobalProtect. Ini hanya penahan, bukan pengganti hotfix.
4. Periksa tanda penyusupan. Halaman peringatan resmi menyediakan perintah CLI untuk mencari jejak percobaan eksploit, dan panduan mengumpulkan file dukungan teknis (TSF) untuk dianalisis.
5. Pertimbangkan reset menyeluruh. Untuk perangkat yang tidak segera ditambal atau dicurigai sudah disusupi, Palo Alto Networks menyediakan prosedur enhanced factory reset lewat tim dukungannya. Ada riset pihak ketiga yang menunjukkan cara bertahan setelah reset biasa dan upgrade, sehingga perangkat yang sudah dikuasai tidak cukup hanya diupdate.
6. Ganti kredensial yang tersimpan atau melewati perangkat, misalnya akun admin dan rahasia VPN, bila ada indikasi penyusupan.

Apa pelajarannya untuk perangkat tepi jaringan?

CVE-2024-3400 bukan kasus tunggal. Perangkat VPN, firewall, dan gateway akses jarak jauh dari berbagai vendor berulang kali menjadi sasaran, karena posisinya selalu terbuka ke internet dan jarang dipantau seketat server. Kasus CitrixBleed 2 di NetScaler memperlihatkan pola yang mirip.

Ada beberapa alasan perangkat tepi menarik bagi penyerang. Perangkat ini jarang dipasangi agen keamanan seperti server biasa, lognya jarang dibaca, dan pembaruannya sering ditunda karena khawatir mengganggu koneksi seluruh kantor. Padahal sekali dikuasai, penyerang mendapat pijakan di batas jaringan yang dipercaya oleh semua perangkat di dalamnya.

Karena itu, perangkat tepi layak masuk prioritas tertinggi dalam jadwal patch. Jadwalkan jendela pemeliharaan rutin agar pembaruan darurat tidak harus menunggu persetujuan panjang. Pantau katalog KEV CISA untuk celah yang sudah dieksploitasi, dan pahami mengapa celah zero-day menuntut respons dalam hitungan jam, bukan minggu. Untuk menimbang tingkat keparahan, panduan membaca skor CVSS bisa membantu.