Ein nicht authentifizierter Angreifer aus dem Internet kann mit einem einzigen präparierten DNS-Paket Ihre PAN-OS-Firewall zum Neustart zwingen. Wiederholte Pakete treiben das Gerät in den Wartungsmodus – die Firewall fällt aus und muss manuell wiederhergestellt werden. Voraussetzung ist aktives DNS Security mit eingeschaltetem Logging; die Schwachstelle wird bereits ausgenutzt.
Advisory als PDF herunterladenDie DNS-Security-Funktion prüft eingehende DNS-Pakete beim Protokollieren nicht ausreichend auf ungültige oder unerwartete Zustände (CWE-754). Ein speziell präpariertes, bösartiges DNS-Paket, das durch die Datenebene läuft und protokolliert wird, löst einen Neustart der Firewall aus. Angreifbar ist nur, wer eine DNS-Security- oder Advanced-DNS-Security-Lizenz einsetzt und das DNS-Security-Logging aktiviert hat.
| PAN-OS-Zweig | Verwundbar | Fixversion |
|---|---|---|
| 10.1 | 10.1.14 bis < 10.1.14-h8 / < 10.1.15 | 10.1.14-h8 · 10.1.15 |
| 10.2 | 10.2.8 bis < 10.2.14 (diverse h-Zweige) | 10.2.14 bzw. h-Fix |
| 11.1 | < 11.1.5 (diverse h-Zweige) | 11.1.5 bzw. h-Fix |
| 11.2 | < 11.2.3 | 11.2.3 |
| Prisma Access | betroffene PAN-OS-Versionen | Rollout mit Palo Alto abstimmen |
| Cloud NGFW · Panorama · 10.0 / 9.1 | nicht betroffen | — |
Angreifbar nur bei aktiver DNS-Security-Lizenz und eingeschaltetem DNS-Security-Logging. Innerhalb von 10.2 sind erst Builds ab 10.2.8, innerhalb von 10.1 erst ab 10.1.14 betroffen. Exakte Build-Ranges des eigenen Zweigs gegen das Hersteller-Advisory abgleichen.
Regulatorischer Hinweis: Ein Ausfall der Firewall-Infrastruktur kann als erhebliche Störung der Verfügbarkeit nach NIS-2 meldepflichtig sein – Fristen nach den für Sie geltenden Vorgaben. Ein Datenabfluss und damit die DSGVO sind hier in der Regel nicht einschlägig; der Ausfall von Schutzsystemen kann jedoch Folgerisiken erzeugen. Die Bewertung bleibt bei Ihnen; wir unterstützen bei Einordnung und Dokumentation.
In dieser Reihenfolge – Mitigation vor Patch, Patch vor Entwarnung.
show config merged | match log-level10.1.15 · 10.2.14 · 11.1.5 · 11.2.3 bzw. den passenden h-Fix). Nach dem Patch kann das DNS-Security-Logging wieder aktiviert werden.unerklärte Firewall-Neustartsshow config merged | match log-levellog-level none;DNS Security mit aktivem LoggingZur Einordnung: Für diese Schwachstelle sind keine belastbaren Netzwerk-IoCs (IPs/Payloads) öffentlich bestätigt – das primäre Signal ist der DoS selbst: die Reboot-Schleife und der Wartungsmodus. Die Angriffspakete laufen durch die reguläre Datenebene und fallen im Netzverkehr nicht ohne Weiteres auf.
Wichtig: Eine Reboot-Schleife nimmt die Firewall vom Netz – mit ihr fällt der Perimeter-Schutz für das dahinterliegende Netz aus. Der Wartungsmodus erfordert manuelles Eingreifen; ohne Überwachung der Geräteverfügbarkeit bleibt ein Ausfall unbemerkt, bis Dienste ausfallen.
Palo Alto Networks Security Advisory CVE-2024-3393 · NVD (nvd.nist.gov) · CISA Known Exploited Vulnerabilities Catalog (Aufnahme 30.12.2024, Frist 20.01.2025). Angaben nach bestem Wissen zum Stand 14.07.2026; Fixversionen und Build-Ranges gegen das Hersteller-Advisory des jeweiligen Zweigs abgleichen. Argos Security ist ISO/IEC 27001 (TÜV SÜD) zertifiziert.
Für genau diese Schwachstelle ausgewählt – nicht für jede.
SOFORTMASSNAHME
Zu dieser Schwachstelle sind Kompromittierungs-Indikatoren bekannt. Vor dem Patch gehört geprüft, ob sie bei Ihnen bereits gegriffen hat. Über den Notfallkontakt erreichen Sie uns rund um die Uhr; für Kunden mit IR-Vertrag mit Rückruf innerhalb von 30 Minuten.
LAUFENDE LEISTUNG
Worauf wir im Cyber Defense Center bei dieser Schwachstelle achten: Wiederholte, unerklärte Firewall-Neustarts und der Eintritt in den Wartungsmodus. Das setzt voraus, dass die dafür nötigen Logquellen angebunden sind. Auffälligkeiten eskalieren wir rund um die Uhr.
LAUFENDE LEISTUNG
Wenn eine Ausnutzung erst nach dem Einstieg sichtbar wird, entscheidet die Korrelation über Endpunkt, Netzwerk und Identität.
Unsere Leistungen ergänzen bestehende Hersteller- und Supportverträge, sie ersetzen sie nicht. Sie arbeiten bereits mit einem MDR-Anbieter? Dann holen Sie zu dieser Schwachstelle eine Zweitmeinung ein.