Aanvallers maken actief misbruik van een kritieke kwetsbaarheid in een firewall-migratietool van Palo Alto Networks voor het stelen van gevoelige informatie. Dat meldt het Cybersecurity and Infrastructure Security Agency (CISA) van het Amerikaanse ministerie van Homeland Security. Palo Alto Networks kwam op 10 juli van dit jaar met een beveiligingsupdate voor de kwetsbaarheid, aangeduid als CVE-2024-5910.

Palo Alto Networks Expedition is een migratietool waarmee het mogelijk is om de configuratie van een firewall van een andere leverancier om te zetten naar een firewall van Palo Alto Networks. CVE-2024-5910 betreft 'ontbrekende authenticatie', waardoor een ongeauthenticeerde aanvaller het Expedition admin-account kan overnemen. Vervolgens is het mogelijk plaintext inloggegevens, 'configuratiegeheimen' en andere gevoelige data te stelen die voor verdere aanvallen zijn te gebruiken. De impact van de kwetsbaarheid is op een schaal van 1 tot en met 10 beoordeeld met een 9.3.

Vorige maand verscheen er een analyse van de kwetsbaarheid, waaruit blijkt dat het versturen van een 'eenvoudige request' voldoende is om het admin-wachtwoord te resetten. Enige voorwaarde voor misbruik is dat de aanvaller de migratietool kan benaderen. Het CISA geeft geen verdere details over de waargenomen aanvallen. Organisaties wordt aangeraden de update te installeren. Daarnaast adviseert Palo Alto Networks als workaround het beperken van toegang tot de migratietool tot geautoriseerde gebruikers, hosts of netwerken.