18.04.2024 - Das BACS warnt vor der Sicherheitslücke bei der Next-Generation Firewall (NGFW) von Palo Alto. Diese Firewalls werden hauptsächlich von Unternehmen und Behörden eingesetzt. Sie weisen eine kritische Verwundbarkeit aus, welche bereits von Cyberkriminellen ausgenutzt wird. Die Angreifer nutzen die Sicherheitslücke aus, um Kommandos auszuführen. Es sind bereits entsprechende Meldungen von Organisationen in der Schweiz beim BACS eingegangen. Das BACS empfiehlt, die Sicherheits-Updates so rasch wie möglich einzuspielen oder die NGFW wenn möglich sogar neu aufzusetzen.
Am 12. April 2024 hat der US-amerikanische Hersteller von Firewall-Lösungen Palo Alto öffentlich über eine kritische Verwundbarkeit in PAN-OS informiert. Die kritische Verwundbarkeit (CVE-2024-3400) erlaubt es einem Angreifer aus der Ferne beliebigen Code auf verwundbaren Geräten auszuführen und dieses dadurch zu kompromittieren.
Am 18. April 2024 sind beim BACS mehrere Meldungen von Organisationen in der Schweiz eingegangen, welche breitflächige Angriffe auf die erwähnte Verwundbarkeit belegen. Das BACS rät Unternehmen daher dringend, die von Palo Alto veröffentlichten Sicherheits-Patch so rasch wie möglich einzuspielen. Geräte, welche bereits nachweislich kompromittiert wurden oder mutmasslich kompromittiert sein könnten sollten dringend neu aufgesetzt werden. Zudem empfehlen wir, die Logdateien von Palo Alto Geräten der letzten 48 Stunden auf verdächtige Aktivitäten zu prüfen.
Zusammen mit nationalen Partnern hat das BACS Massnahmen getroffen, um die Risikoexposition von Schweizer Unternehmen zu minimieren. Zudem wurden Betreiberinnen kritischer Infrastrukturen, welche ein verwundbares Palo Alto Gerät betreiben, aktiv durch das BACS informiert.
Siehe Palo Alto Advisory:
https://security.paloaltonetworks.com/CVE-2024-3400
Verwundbare Versionen:
- PAN-OS 10.2 (versions before 10.2.5-h6, 10.2.6-h3, 10.2.7-h8, 10.2.8-h3 and 10.2.9-h1)
- PAN-OS 11.0 (versions before 11.0.2-h4, 11.0.3-h10 and 11.0.4-h1)
- PAN-OS 11.1 (versions prior to 11.1.0-h3, 11.1.1-h1 and 11.1.2-h3).
