2024年4月に公表された欠陥

JPCERT/CCは2024年4月、PAN-OSのGlobalProtectに関係するCVE-2024-3400について注意喚起しました。認証されていない第三者がOSコマンドを実行する可能性があり、国内での被害も確認されています。公開情報の更新とともに、影響を受ける設定条件や対応の説明も更新されました。

SQLインジェクションとの違い

この問題はOSコマンドインジェクションです。SQLインジェクションがデータベースへの命令に関係するのに対し、OSコマンドインジェクションは機器の基本ソフトに実行させる命令に関係します。どちらも外部入力の扱いが問題になり得ますが、動作する場所と対処すべき製品が異なります。SQLのパラメータ化を導入すればこのVPN機器の欠陥も直る、という関係ではありません。

設定条件の更新が判断を変える

当時の情報では、GlobalProtectのゲートウェイやポータルの設定が影響の判断に関係しました。また、テレメトリーを無効化することは有効な回避策ではないと更新されています。初報を読んだときの理解のまま運用すると、その後に判明した条件を見落とす場合があります。

認証と機器の安全性を別々に考える

認証前に悪用される欠陥には、利用者のパスワードを強くするだけでは対応できません。提供元の修正を適用することと、既に不正な操作が行われていないかを調べることが、それぞれ必要になります。本記事は2024年の事例の解説です。当時の回避策や修正版の情報だけで現在の安全性を判断せず、最新の対象条件と調査・復旧手順を確認する必要があります。

JPCERT/CC PAN-OS注意喚起（2024年4月）

記事更新・資料確認日：2026年9月12日。事例・注意喚起の時点は本文に記載しています。