Palo Alto: a falha de configuração que ninguém percebeu porque o firewall estava no caminho

Em abril de 2024, a Palo Alto Networks publicou a CVE-2024-3400, uma falha de configuração no sistema operacional dos seus firewalls. A falha criava uma rota estática para o endereço de um servidor de detecção de ameaças, e essa rota fazia com que o tráfego da internet pudesse entrar na rede interna contornando o próprio firewall.

O detalhe que tornou a falha mais perceptível foi a forma como ela se manifestava. O traffic de entrada continuava passando pelo firewall, e as políticas eram aplicadas normalmente. A diferença era que o tráfego de saída, e apenas parte dele, podia contornar a inspeção. O sintoma, para quem não conhecia a causa, era o mesmo de uma configuração de proxy errada: alguns sites deixavam de funcionar, e a equipe de rede passava dias sem entender o motivo.

A campanha de exploração, o ProxyNotShell, apareceu semanas depois, e explorava justamente o que a falha permitia. Os dispositivos comprometidos eram usados para interceptar tráfego, Installing persistência e, em alguns casos, para Credentials.

A lição é que a configuração padrão de um produto precisa ser entendida, não aceita. O firewall estava funcionando, a política estava correta, e ainda assim existia um caminho que passava ao largo de tudo. E a segunda é sobre detecção: quando um serviço começa a falhar de forma inexplicável, a primeira hipótese não deveria ser o aplicativo, e sim a infraestrutura que ele atravessa.