CVE-2024-3400: Palo Alto PAN-OS GlobalProtect 원격 코드 실행

취약점 개요

• CVE-ID: CVE-2024-3400
• 공개일: 2024-04-12 / CVSS 4.0: 10.0
• 영향 제품: Palo Alto Networks PAN-OS GlobalProtect (특정 기능 구성 시)
• 취약점 유형: 임의 파일 생성 + root 권한 cron 처리 로직의 커맨드 인젝션 조합 → 인증 불필요 원격 코드 실행
• 한 줄 요약: 인증 없이 접근 가능한 GlobalProtect 인터페이스가 세션 식별자류 값을 검증 없이 파일명에 사용해서 임의 이름의 파일을 생성할 수 있고, 별도로 root 권한으로 도는 원격 측정(telemetry) 정리 cron이 그 파일명을 셸 명령에 그대로 삽입해 실행한다.

패치 분석

이 CVE는 단일 함수의 버그가 아니라 **"임의 파일 생성"과 "그 파일명을 신뢰하는 root cron"**이라는 두 기능의 조합이라, 패치도 두 지점 모두를 손봐야 했다.

1) 세션 식별자 기반 파일 생성 경로 — 입력 검증 부재

Before

# GlobalProtect 세션 처리 로직 (공개 어드바이저리 기반 재구성)
session_id = get_header(request, "session-id-field")
telemetry_path = TELEMETRY_DIR + "/" + session_id     # 검증 없이 그대로 경로/파일명에 사용
create_file(telemetry_path, request_body)

session_id 값에 셸 메타문자(;, `, $() 등)나 경로 조작 문자가 포함되어도 그대로 파일명에 쓰인다.

After

session_id = get_header(request, "session-id-field")
if not is_safe_filename(session_id):   # 화이트리스트 문자셋(영숫자 등)만 허용
    reject_request()
telemetry_path = TELEMETRY_DIR + "/" + session_id
create_file(telemetry_path, request_body)

2) root 권한 텔레메트리 정리 cron — 파일명을 셸 명령에 직접 삽입

Before

# root cron이 주기적으로 실행 (재구성)
for file in list_dir(TELEMETRY_DIR):
    run_shell(f"process_telemetry.sh {file}")   # 파일명이 셸 명령 문자열에 그대로 삽입됨

파일명 안의 셸 메타문자가 명령 구분자·명령 치환으로 해석될 수 있는 구조다.

After

for file in list_dir(TELEMETRY_DIR):
    run_shell_argv(["process_telemetry.sh", file])  # 셸 문자열 조립이 아니라 인자 배열로 직접 실행

문자열을 셸에 넘겨 재해석시키는 대신, 인자를 배열 형태로 직접 실행 프로세스에 전달해 셸의 메타문자 재해석 단계 자체를 제거했다.

재현 결과 (공격 흐름)

1. 인증 없이 접근 가능한 GlobalProtect 엔드포인트에 셸 메타문자를 포함한 세션 식별자 값으로 요청 전송
2. 취약한 처리 로직이 검증 없이 그 값을 파일명으로 사용해 텔레메트리 디렉터리에 파일 생성
3. root 권한 cron이 주기적으로 해당 디렉터리를 스캔하며 파일명을 셸 명령 문자열에 삽입해 실행
4. 셸이 파일명 속 메타문자를 명령으로 해석 → root 권한 임의 명령 실행
5. 별도 트리거 요청으로 처리 타이밍을 강제하거나 cron 주기를 기다리는 2단계 흐름으로 알려져 있다 — 세부 페이로드는 공개 어드바이저리 참고

영향 및 체이닝

• 경계 장비 자체가 침투 시작점: VPN 게이트웨이가 뚫리면 인증서·사설 키 탈취로 VPN 터널을 흉내 내거나, 내부망에 이미 들어와 있는 것과 동일한 위치를 확보할 수 있다
• 1-day 익스플로잇의 현실성: 패치 공개 이후에도 미패치 장비가 인터넷에 오래 노출되어 대규모 자동 스캔·공격이 뒤따르는 전형적 패턴을 보였다
• 이 CVE로 얻은 root 셸에 eBPF 기반 지속성 기법을 결합하면 패치 적용 이후에도 남는 백도어로 이어질 수 있어 침해 이후 재설치가 필요하다는 교훈으로 연결된다

참고자료

• NVD: https://nvd.nist.gov/vuln/detail/CVE-2024-3400
• Palo Alto Networks Security Advisory (CVE-2024-3400)