CVE-2024-3400: Palo Alto PAN-OS GlobalProtect 원격 코드 실행

취약점 개요#

CVE-ID: CVE-2024-3400
공개일: 2024-04-12 / CVSS 4.0: 10.0
영향 제품: Palo Alto Networks PAN-OS GlobalProtect (특정 기능 구성 시)
취약점 유형: 임의 파일 생성 + root 권한 cron 처리 로직의 커맨드 인젝션 조합 → 인증 불필요 원격 코드 실행
한 줄 요약: 인증 없이 접근 가능한 GlobalProtect 인터페이스가 세션 식별자류 값을 검증 없이 파일명에 사용해서 임의 이름의 파일을 생성할 수 있고, 별도로 root 권한으로 도는 원격 측정(telemetry) 정리 cron이 그 파일명을 셸 명령에 그대로 삽입해 실행한다.

패치 분석#

이 CVE는 단일 함수의 버그가 아니라 **"임의 파일 생성"과 "그 파일명을 신뢰하는 root cron"**이라는 두 기능의 조합이라, 패치도 두 지점 모두를 손봐야 했다.

1) 세션 식별자 기반 파일 생성 경로 — 입력 검증 부재#

Before

# GlobalProtect 세션 처리 로직 (공개 어드바이저리 기반 재구성)
session_id = get_header(request, "session-id-field")
telemetry_path = TELEMETRY_DIR + "/" + session_id     # 검증 없이 그대로 경로/파일명에 사용
create_file(telemetry_path, request_body)

session_id 값에 셸 메타문자(;, `, $() 등)나 경로 조작 문자가 포함되어도 그대로 파일명에 쓰인다.

After

session_id = get_header(request, "session-id-field")
if not is_safe_filename(session_id):   # 화이트리스트 문자셋(영숫자 등)만 허용
    reject_request()
telemetry_path = TELEMETRY_DIR + "/" + session_id
create_file(telemetry_path, request_body)

2) root 권한 텔레메트리 정리 cron — 파일명을 셸 명령에 직접 삽입#

Before

# root cron이 주기적으로 실행 (재구성)
for file in list_dir(TELEMETRY_DIR):
    run_shell(f"process_telemetry.sh {file}")   # 파일명이 셸 명령 문자열에 그대로 삽입됨

파일명 안의 셸 메타문자가 명령 구분자·명령 치환으로 해석될 수 있는 구조다.

After

for file in list_dir(TELEMETRY_DIR):
    run_shell_argv(["process_telemetry.sh", file])  # 셸 문자열 조립이 아니라 인자 배열로 직접 실행

문자열을 셸에 넘겨 재해석시키는 대신, 인자를 배열 형태로 직접 실행 프로세스에 전달해 셸의 메타문자 재해석 단계 자체를 제거했다.

재현 결과 (공격 흐름)#

인증 없이 접근 가능한 GlobalProtect 엔드포인트에 셸 메타문자를 포함한 세션 식별자 값으로 요청 전송
취약한 처리 로직이 검증 없이 그 값을 파일명으로 사용해 텔레메트리 디렉터리에 파일 생성
root 권한 cron이 주기적으로 해당 디렉터리를 스캔하며 파일명을 셸 명령 문자열에 삽입해 실행
셸이 파일명 속 메타문자를 명령으로 해석 → root 권한 임의 명령 실행
별도 트리거 요청으로 처리 타이밍을 강제하거나 cron 주기를 기다리는 2단계 흐름으로 알려져 있다 — 세부 페이로드는 공개 어드바이저리 참고

영향 및 체이닝#

경계 장비 자체가 침투 시작점: VPN 게이트웨이가 뚫리면 인증서·사설 키 탈취로 VPN 터널을 흉내 내거나, 내부망에 이미 들어와 있는 것과 동일한 위치를 확보할 수 있다
1-day 익스플로잇의 현실성: 패치 공개 이후에도 미패치 장비가 인터넷에 오래 노출되어 대규모 자동 스캔·공격이 뒤따르는 전형적 패턴을 보였다
이 CVE로 얻은 root 셸에 eBPF 기반 지속성 기법을 결합하면 패치 적용 이후에도 남는 백도어로 이어질 수 있어 침해 이후 재설치가 필요하다는 교훈으로 연결된다

참고자료#

NVD: https://nvd.nist.gov/vuln/detail/CVE-2024-3400
Palo Alto Networks Security Advisory (CVE-2024-3400)