Ein nicht authentifizierter Angreifer aus dem Netz kann in Palo Altos Migrations-Software Expedition beliebige Betriebssystembefehle mit Root-Rechten ausführen. Dabei lassen sich Nutzernamen, Klartext-Passwörter, Gerätekonfigurationen und API-Schlüssel der angebundenen PAN-OS-Firewalls auslesen. Die Lücke wird seit November 2024 aktiv ausgenutzt und steht im CISA-KEV-Katalog.
Advisory als PDF herunterladenExpedition übernimmt bei einem aus dem Netz erreichbaren Endpunkt eine vom Angreifer kontrollierte Eingabe ungeprüft in einen Betriebssystem-Befehl (OS Command Injection, CWE-78). Enthält die Eingabe Shell-Metazeichen, führt der Server die eingeschmuggelten Befehle mit Root-Rechten aus. Es sind weder Anmeldedaten noch Nutzerinteraktion nötig. Weil Expedition Zugangsdaten und API-Schlüssel der angebundenen PAN-OS-Firewalls im Klartext vorhält, lassen sich diese im selben Zug auslesen.
root| Expedition-Version | Verwundbar | Fixversion |
|---|---|---|
| Expedition 1 | < 1.2.96 (1.2.0–1.2.95) | 1.2.96 |
| PAN-OS · Panorama · Prisma Access · Cloud NGFW | nicht direkt betroffen | — |
Betroffen ist ausschließlich die Migrations-Software Expedition (Version 1) vor 1.2.96 – nicht PAN-OS, Panorama, Cloud NGFW oder Prisma Access selbst. Da Expedition die Zugangsdaten und API-Schlüssel der verwalteten Firewalls im Klartext verarbeitet, sind diese bei erfolgreicher Ausnutzung mittelbar kompromittiert. Palo Alto verlangt, alle über Expedition verarbeiteten Firewall-Zugangsdaten und API-Schlüssel nach dem Update zu rotieren.
Regulatorischer Hinweis: Ein bestätigter unbefugter Zugriff auf Firewall-Zugangsdaten kann eine meldepflichtige Verletzung darstellen – DSGVO unverzüglich (i. d. R. 72 h), NIS-2 nach den für Sie geltenden Fristen. Die Meldung bleibt bei Ihnen; wir unterstützen bei Bewertung und Dokumentation.
In dieser Reihenfolge – Mitigation vor Patch, Patch vor Entwarnung.
1.2.96? Ist die Weboberfläche aus dem Netz oder für unberechtigte Hosts erreichbar? Nur diese Kombination ist angreifbar – PAN-OS-Firewalls, Panorama und Prisma Access sind nicht direkt betroffen.Expedition 1.2.96 oder eine neuere Version aktualisieren. Damit ist die Command-Injection geschlossen.root und verdächtige Anfragen an die Oberfläche prüfen. Wegen des Root-Zugriffs ist eine gründliche Integritätsprüfung des Systems angeraten – ein Patch schließt die Lücke, nicht einen bereits erfolgten Zugriff.root auf dem Expedition-ServerShell-MetazeichenZur Einordnung: Palo Alto hat für CVE-2024-9463 keine spezifischen netzwerkbasierten IoCs veröffentlicht. Maßgeblich ist die Analyse der Expedition-Host- und Weblogs sowie – wegen des Root-Zugriffs – eine gründliche Integritätsprüfung des Systems. Für die parallel gemeldete Lücke CVE-2024-9465 nennt Palo Alto eine MySQL-Abfrage der cronjobs-Tabelle als Kompromittierungsprüfung.
Wichtig: Da die Befehle mit Root-Rechten laufen, kann ein Angreifer persistente Artefakte hinterlassen und sämtliche in Expedition gespeicherten Firewall-Zugangsdaten im Klartext auslesen. Ein Patch schließt die Lücke – rotieren Sie zwingend alle betroffenen Zugangsdaten und API-Schlüssel.
Palo Alto Networks Security Advisory PAN-SA-2024-0010 / CVE-2024-9463 · NVD (CVSS 3.1 7,5 HOCH; CVSS 4.0 9,9 KRITISCH; CWE-78) · CISA Known Exploited Vulnerabilities Catalog (aufgenommen 14.11.2024, Umsetzungsfrist 05.12.2024). Angaben nach bestem Wissen zum Stand 14.07.2026; Fixversion gegen das Hersteller-Advisory abgleichen. Argos Security ist ISO/IEC 27001 (TÜV SÜD) zertifiziert.
Für genau diese Schwachstelle ausgewählt – nicht für jede.
SOFORTMASSNAHME
Zu dieser Schwachstelle sind Kompromittierungs-Indikatoren bekannt. Vor dem Patch gehört geprüft, ob sie bei Ihnen bereits gegriffen hat. Über den Notfallkontakt erreichen Sie uns rund um die Uhr; für Kunden mit IR-Vertrag mit Rückruf innerhalb von 30 Minuten.
LAUFENDE LEISTUNG
Worauf wir im Cyber Defense Center bei dieser Schwachstelle achten: Root-Befehlsausführung auf dem Expedition-Host und anomale Zugriffe auf die Weboberfläche. Das setzt voraus, dass die dafür nötigen Logquellen angebunden sind. Auffälligkeiten eskalieren wir rund um die Uhr.
LAUFENDE LEISTUNG
Wenn eine Ausnutzung erst nach dem Einstieg sichtbar wird, entscheidet die Korrelation über Endpunkt, Netzwerk und Identität.
Unsere Leistungen ergänzen bestehende Hersteller- und Supportverträge, sie ersetzen sie nicht. Sie arbeiten bereits mit einem MDR-Anbieter? Dann holen Sie zu dieser Schwachstelle eine Zweitmeinung ein.