GlobalProtect App: 提升权限漏洞 (Privilege Escalation, PE)

该特权提升漏洞的潜在影响是严重的。攻击者可以利用此漏洞获取系统管理员权限，从而完全控制受影响的设备。他们可以访问敏感数据、安装恶意软件、修改系统配置，甚至完全接管设备。由于该漏洞依赖于竞态条件，攻击者需要精心设计其攻击流程，但一旦成功，其影响范围将非常广泛。虽然描述中未提及与 Log4Shell 类似的模式，但该漏洞的利用同样可能导致严重的系统安全事件。

Organizations deploying Palo Alto Networks GlobalProtect app on Windows devices are at risk. This includes environments with less restrictive local user account policies and those where local administrative access is frequently granted. Shared hosting environments utilizing GlobalProtect are also potentially vulnerable.

• windows / supply-chain:

Get-Process -ErrorAction SilentlyContinue | Where-Object {$_.ProcessName -like '*globalprotect*'}

• windows / supply-chain:

Get-WinEvent -LogName Application -FilterXPath "*[System[Provider[@Name='Microsoft-Windows-Security-Auditing'] and (EventID=4688)] and EventData[Data[@Name='TargetUserName']='SYSTEM']" -MaxEvents 10

• windows / supply-chain: Check Autoruns for unusual entries related to GlobalProtect or suspicious executables running with elevated privileges (using tools like Autoruns from Sysinternals).

1. 2024-03-13Disclosure

   disclosure

1. 已保留2024-03-13
2. 发布日期2024-03-13
3. 修改日期2024-08-28
4. EPSS 更新日期2026-04-02

最有效的缓解措施是立即将 Palo Alto Networks GlobalProtect App 升级至 6.2.1 或更高版本。如果升级会导致系统中断，可以考虑回滚到之前的稳定版本，但应尽快完成升级。在升级期间，建议禁用 GlobalProtect App 的某些功能，以降低潜在风险。此外，可以考虑使用 Web 应用防火墙 (WAF) 或代理服务器来限制对 GlobalProtect App 的访问，并监控异常活动。升级后，请验证 GlobalProtect App 版本是否已成功更新，并确认竞态条件是否已被修复。