Ein nicht authentifizierter Angreifer mit Netzzugang zum PAN-OS-Management-Webinterface kann die Anmeldung vollständig umgehen und Administrator-Rechte erlangen – ohne gültige Zugangsdaten. Ursache ist eine fehlende Authentifizierung an einer kritischen Funktion (CWE-306). Die Lücke wird seit November 2024 aktiv ausgenutzt, häufig verkettet mit der Rechteausweitung CVE-2024-9474.
Advisory als PDF herunterladenDas PAN-OS-Management-Webinterface prüft für eine kritische Funktion die Authentifizierung nicht ausreichend (CWE-306: Missing Authentication for Critical Function). Ein entfernter, nicht authentifizierter Angreifer mit Netzzugang zum Interface kann die Anmeldung damit vollständig umgehen und PAN-OS-Administrator-Rechte erlangen. Von dort lassen sich administrative Aktionen ausführen, die Konfiguration verändern oder weitere authentifizierte Schwachstellen – insbesondere die Rechteausweitung CVE-2024-9474 – nachgelagert ausnutzen.
CVE-2024-9474 für Codeausführung/Root| PAN-OS-Zweig | Verwundbar | Fixversion |
|---|---|---|
| 10.2 | < 10.2.12-h2 | 10.2.12-h2 |
| 11.0 | < 11.0.6-h1 | 11.0.6-h1 |
| 11.1 | < 11.1.5-h1 | 11.1.5-h1 |
| 11.2 | < 11.2.4-h1 | 11.2.4-h1 |
| Cloud NGFW · Prisma Access | nicht betroffen | — |
Betroffen sind PA-Series-, VM-Series- und CN-Series-Firewalls sowie Panorama (virtuell & M-Series). Cloud NGFW und Prisma Access sind nicht betroffen. Praktisch angreifbar ist nur ein aus dem Netz erreichbares Management-Webinterface. Exakte Build-Ranges gegen das Hersteller-Advisory des eigenen Zweigs abgleichen.
Regulatorischer Hinweis: Eine bestätigte administrative Übernahme bzw. ein unbefugter Zugriff kann eine meldepflichtige Verletzung darstellen – DSGVO unverzüglich (i. d. R. 72 h), NIS-2 nach den für Sie geltenden Fristen. Die Meldung bleibt bei Ihnen; wir unterstützen bei Bewertung und Dokumentation.
In dieser Reihenfolge – Management-Interface abschotten vor Patch, Patch vor Entwarnung.
10.2.12-h2 · 11.0.6-h1 · 11.1.5-h1 · 11.2.4-h1 und höher). Palo Alto hat für alle betroffenen Zweige feste Builds veröffentlicht.95746 · 95747 · 95752 · 95753 · 95759 · 95763 (Applications-and-Threats-Content 8915-9075 und höher) einspielen, um Angriffsversuche zu blockieren.CVE-2024-9474 verkettet wird: Logs auf unerwartete administrative Aktionen, neue/geänderte Admin-Konten und Konfigurationsänderungen sowie auf hinterlegte Web-Shells prüfen. Ein Patch schließt die Lücke – nicht einen bereits erfolgten Zugriff.95746 · 95747 · 95752 · 95753 · 95759 · 95763 (Content 8915-9075+)Zur Einordnung: Die Threat-IDs sind herstellerbestätigte Blocking-Signaturen; die Verhaltensmarker sind allgemeine Prüfhinweise und kein Ersatz für die Analyse Ihrer Management-, Zugriffs- und Systemlogs. Ein erfolgreicher Bypass erscheint als reguläre administrative Aktivität – ohne Auswertung der Logs bleibt ein erfolgter Zugriff unsichtbar.
Wichtig: Ein erfolgreicher Auth-Bypass gewährt volle Administrator-Rechte und erscheint als reguläre administrative Aktivität. In Verkettung mit CVE-2024-9474 folgt Codeausführung mit Root-Rechten. Ein reiner Patch entfernt bereits etablierte Persistenz, geänderte Konfiguration oder Konten nicht – ohne Prüfung des Systems bleibt eine erfolgte Kompromittierung unsichtbar.
Palo Alto Networks Security Advisory CVE-2024-0012 (PAN-SA-2024-0015) · NVD (nvd.nist.gov, CVSS 4.0 Basiswert 9,3 / CVSS 3.1 9,8, CWE-306) · CISA Known Exploited Vulnerabilities Catalog (Aufnahme 18.11.2024, Frist 09.12.2024). Angaben nach bestem Wissen zum Stand 14.07.2026; Fixversionen und Build-Ranges gegen das Hersteller-Advisory des jeweiligen Zweigs abgleichen. Argos Security ist ISO/IEC 27001 (TÜV SÜD) zertifiziert.
Für genau diese Schwachstelle ausgewählt – nicht für jede.
SOFORTMASSNAHME
Zu dieser Schwachstelle sind Kompromittierungs-Indikatoren bekannt. Vor dem Patch gehört geprüft, ob sie bei Ihnen bereits gegriffen hat. Über den Notfallkontakt erreichen Sie uns rund um die Uhr; für Kunden mit IR-Vertrag mit Rückruf innerhalb von 30 Minuten.
LAUFENDE LEISTUNG
Worauf wir im Cyber Defense Center bei dieser Schwachstelle achten: administrative Aktionen ohne vorangegangene Anmeldung und anomale Zugriffe auf das Management-Interface. Das setzt voraus, dass die dafür nötigen Logquellen angebunden sind. Auffälligkeiten eskalieren wir rund um die Uhr.
PROJEKT
Management-Oberflächen sind wiederkehrend betroffen. Ein Test zeigt, welche davon bei Ihnen erreichbar sind, bevor es jemand anderes herausfindet.
Unsere Leistungen ergänzen bestehende Hersteller- und Supportverträge, sie ersetzen sie nicht. Sie arbeiten bereits mit einem MDR-Anbieter? Dann holen Sie zu dieser Schwachstelle eine Zweitmeinung ein.