SECURITY ADVISORY

Fehlende Authentifizierung in Palo Alto Expedition

Eine kritische Funktion in Palo Alto Expedition ist ohne Anmeldung erreichbar. Ein Angreifer mit Netzzugang kann so ein Expedition-Admin-Konto übernehmen – und damit auf die importierten Firewall-Konfigurationen, Klartext-Zugangsdaten und API-Schlüssel zugreifen. In öffentlichen PoCs wird die Lücke mit CVE-2024-9464 zu unauthentifizierter Befehlsausführung verkettet. CISA bestätigt aktive Ausnutzung seit November 2024.

CVE-ID

CVE-2024-5910

CVSS

9,3

Schweregrad

Kritisch

Hersteller

Palo Alto Networks

Produkt

Palo Alto Networks Expedition

Veröffentlicht

14.07.2026

CISA-KEV

Gelistet

Advisory als PDF herunterladen

Analyse

Warum die Lücke wirkt

Expedition enthält eine kritische Funktion, die ohne Authentifizierungsprüfung aufgerufen werden kann (CWE-306). Ein Angreifer mit Netzzugang kann sie ohne Anmeldung nutzen und ein Expedition-Admin-Konto übernehmen. Da Expedition beim Migrieren von Firewall-Konfigurationen Zugangsdaten, API-Schlüssel und weitere Secrets importiert, erhält der Angreifer damit Zugriff auf hochsensible Netz-Geheimnisse. In veröffentlichten Proof-of-Concepts wird die Schwachstelle mit CVE-2024-9464 zu unauthentifizierter Befehlsausführung auf dem Server verkettet.

Angriffskette

  1. Expedition erreichbar – das Migrationstool ist aus dem Netz erreichbar
  2. Auth umgehen – ungeschützte kritische Funktion ohne Anmeldung aufrufen
  3. Admin übernehmen – Zugriff auf Konfigurationen, Zugangsdaten & API-Schlüssel
  4. Verkettung → RCE – mit CVE-2024-9464 Befehlsausführung auf dem Server

Betroffene Versionen und Fixes

Expedition-ZweigVerwundbarFixversion
Expedition 1.2< 1.2.921.2.92
PAN-OS · Panorama · Prisma Access · Cloud NGFWnicht betroffen

Betroffen ist ausschließlich das eigenständige Migrationswerkzeug Expedition, nicht PAN-OS-Firewalls, Panorama oder Prisma Access. Der Fix ist in Expedition 1.2.92 und allen späteren Versionen enthalten – exakte Version gegen das Hersteller-Advisory abgleichen.

Regulatorischer Hinweis: Da Expedition Firewall-Zugangsdaten und Secrets speichert, kann ein bestätigter Zugriff eine meldepflichtige Verletzung darstellen – DSGVO unverzüglich (i. d. R. 72 h), NIS-2 nach den für Sie geltenden Fristen. Die Meldung bleibt bei Ihnen; wir unterstützen bei Bewertung und Dokumentation.

Chronologie

  • 10.07.2024 – Palo Alto veröffentlicht Advisory (PAN-SA-2024-0015) + Fix 1.2.92
  • Okt. 2024 – Horizon3.ai veröffentlicht PoC – Verkettung mit CVE-2024-9464 (RCE)
  • 07.11.2024 – CISA KEV · aktive Ausnutzung bestätigt
  • 28.11.2024 – CISA-Frist für US-Bundesbehörden

Maßnahmenplan

In dieser Reihenfolge – Mitigation vor Patch, Patch vor Entwarnung.

  • Sofort: Netzzugang sperren
  • Kurzfristig: Patch einspielen
  • Parallel: Secrets rotieren / Threat Hunting
  1. Betroffenheit feststellen
    Prüfen, ob Expedition im Einsatz ist und welche Version läuft. Jede Version unterhalb 1.2.92 ist angreifbar. Ermitteln, ob die Instanz aus dem Internet oder aus wenig vertrauenswürdigen Netzsegmenten erreichbar ist.
  2. Sofort mitigieren (vor dem Patch)
    Netzzugang zu Expedition strikt einschränken – nur autorisierte Nutzer, Hosts oder Netze. Von Palo Alto als Behelf benannt. Nicht benötigte Instanzen abschalten, statt sie erreichbar zu lassen.
  3. Patchen
    Expedition auf 1.2.92 oder neuer aktualisieren. Der Fix schließt die fehlende Authentifizierungsprüfung.
  4. Secrets als kompromittiert behandeln
    Nach einem bestätigten oder nicht auszuschließenden Zugriff alle über Expedition verarbeiteten Firewall-Zugangsdaten, API-Schlüssel und Secrets als offengelegt betrachten und rotieren. Ein Patch schließt die Lücke – nicht einen bereits erfolgten Abfluss.
  5. Kompromittierung ausschließen
    Anwendungs- und Systemlogs von Expedition auf unerwartete Admin-Aktivität, Passwort-Resets und Zugriffe aus fremden Quellen prüfen. Auf Anzeichen der Verkettung mit CVE-2024-9464 (Befehlsausführung durch den Webserver-Nutzer) achten.

Kompromittierungs-Indikatoren

  • Zugriffe auf Expedition: Aufrufe der Expedition-Web-App aus dem Internet oder unerwarteten Quellen
  • Admin-Konto: Unerwartete Passwort-Resets, neue Admin-Sitzungen oder Konfigurationsänderungen
  • Verkettung → RCE: Shell-/Prozess-Aktivität durch den Webserver-Nutzer (Hinweis auf CVE-2024-9464)

Zur Einordnung: Zu dieser Schwachstelle sind öffentlich keine belastbaren netzbasierten IoCs (feste IPs oder Hashes) veröffentlicht. Die Erkennung stützt sich auf Anomalien in den Anwendungs- und Systemlogs von Expedition sowie den Nachweis der Verkettung mit CVE-2024-9464. Kein Ersatz für die Analyse Ihrer eigenen Logs.

Wichtig: Expedition speichert importierte Firewall-Konfigurationen inklusive Klartext-Zugangsdaten und API-Schlüssel. Nach einem bestätigten Zugriff müssen alle darüber verarbeiteten Anmeldedaten und Secrets als kompromittiert gelten und rotiert werden – ein Patch allein genügt nicht.

Empfehlung für die Geschäftsleitung

  • Netzzugang zu Expedition heute sperren und auf 1.2.92 aktualisieren.
  • Nach bestätigtem Zugriff alle über Expedition verarbeiteten Zugangsdaten, API-Schlüssel und Secrets rotieren – dokumentiert für eine etwaige Meldung.
  • Prüfen lassen, ob Expedition dauerhaft benötigt wird; nicht benötigte Instanzen abschalten.

Primärquellen

Palo Alto Networks Security Advisory CVE-2024-5910 (PAN-SA-2024-0015) · NVD (CVSS 4.0 9,3 / CVSS 3.1 9,8, CWE-306) · CISA Known Exploited Vulnerabilities Catalog (aufgenommen 07.11.2024) · Horizon3.ai (PoC, Verkettung mit CVE-2024-9464). Angaben nach bestem Wissen zum Stand 14.07.2026; Fixversion gegen das Hersteller-Advisory abgleichen. Argos Security ist ISO/IEC 27001 (TÜV SÜD) zertifiziert.

So unterstützt Sie Argos Security

Für genau diese Schwachstelle ausgewählt – nicht für jede.

  • SOFORTMASSNAHME

    Kompromittierung prüfen →

    Zu dieser Schwachstelle sind Kompromittierungs-Indikatoren bekannt. Vor dem Patch gehört geprüft, ob sie bei Ihnen bereits gegriffen hat. Über den Notfallkontakt erreichen Sie uns rund um die Uhr; für Kunden mit IR-Vertrag mit Rückruf innerhalb von 30 Minuten.

  • LAUFENDE LEISTUNG

    Cyber Defense Center →

    Worauf wir im Cyber Defense Center bei dieser Schwachstelle achten: Anomale Zugriffe auf Expedition und unerwartete Admin-Aktivität. Das setzt voraus, dass die dafür nötigen Logquellen angebunden sind. Auffälligkeiten eskalieren wir rund um die Uhr.

  • LAUFENDE LEISTUNG

    Managed XDR – Extended Detection and Response →

    Wenn eine Ausnutzung erst nach dem Einstieg sichtbar wird, entscheidet die Korrelation über Endpunkt, Netzwerk und Identität.

Unsere Leistungen ergänzen bestehende Hersteller- und Supportverträge, sie ersetzen sie nicht. Sie arbeiten bereits mit einem MDR-Anbieter? Dann holen Sie zu dieser Schwachstelle eine Zweitmeinung ein.