Ein nicht authentifizierter Angreifer aus dem Netz kann über eine SQL-Injection den gesamten Datenbestand des Migrationswerkzeugs Expedition auslesen – Passwort-Hashes, Nutzernamen, Gerätekonfigurationen und Geräte-API-Schlüssel – und beliebige Dateien auf dem System lesen und schreiben. Mit den erbeuteten Zugangsdaten stehen anschließend die verwalteten Firewalls offen. Die Schwachstelle wird seit November 2024 aktiv ausgenutzt.
Advisory als PDF herunterladenExpedition validiert in den betroffenen Versionen Eingaben an einem Web-Endpunkt nicht ausreichend, bevor sie in eine SQL-Abfrage einfließen. Ein nicht authentifizierter Angreifer kann dadurch eigene SQL-Befehle in die Datenbank pandb einschleusen, deren Inhalt auslesen und über SQL-Dateifunktionen zusätzlich beliebige Dateien auf dem System lesen und schreiben.
| Expedition-Version | Verwundbar | Fixversion |
|---|---|---|
| Expedition 1.x | < 1.2.96 | 1.2.96 |
| PAN-OS · Firewalls · Panorama | nicht betroffen | — |
Betroffen ist ausschließlich das eigenständige Migrationswerkzeug Expedition in allen Versionen unterhalb 1.2.96. PAN-OS-Firewalls, Panorama und Cloud NGFW sind von dieser Schwachstelle nicht direkt betroffen – wohl aber mittelbar, wenn deren in Expedition gespeicherte Zugangsdaten abgeflossen sind.
Regulatorischer Hinweis: Ein bestätigter Abfluss von Zugangsdaten oder personenbezogenen Daten kann eine meldepflichtige Verletzung darstellen – DSGVO unverzüglich (i. d. R. 72 h), NIS-2 nach den für Sie geltenden Fristen. Die Meldung bleibt bei Ihnen; wir unterstützen bei Bewertung und Dokumentation.
In dieser Reihenfolge – Zugriff einschränken, patchen, Zugangsdaten rotieren, Kompromittierung ausschließen.
1.2.96 im Einsatz und über das Netz erreichbar ist. Expedition ist ein reines Migrationswerkzeug – oft temporär installiert und nach dem Projekt vergessen. Nicht mehr benötigte Instanzen zählen ebenfalls.Expedition 1.2.96 oder neuer aktualisieren. Damit ist die SQL-Injection geschlossen.mysql -uroot -p -D pandb -e "SELECT * FROM cronjobs;"pandb.cronjobsSELECT * FROM cronjobs;Zur Einordnung: Die Cronjob-Prüfung ist der von Palo Alto genannte konkrete Kompromittierungshinweis. Da die eigentliche SQL-Injection über reguläre Web-Anfragen läuft, ist sie ohne detaillierte Zugriffs-Logs schwer zu erkennen – der zuverlässigste Indikator ist die Auswertung Ihrer Web- und Firewall-Authentifizierungs-Logs.
Wichtig: Der Kern des Risikos liegt nicht in Expedition selbst, sondern in den dort gespeicherten Geheimnissen: Sind Firewall-Zugangsdaten und API-Schlüssel einmal abgeflossen, bleibt der Zugang auch nach dem Patch bestehen. Deshalb ist die Rotation aller betroffenen Zugangsdaten ebenso wichtig wie das Update.
Palo Alto Networks Security Advisory CVE-2024-9465 / PAN-SA-2024-0010 · NVD (CVSS 4.0: 9,2 / CVSS 3.1: 9,1, CWE-89) · CISA Known Exploited Vulnerabilities Catalog (aufgenommen 14.11.2024) · Horizon3.ai Attack Research. Angaben nach bestem Wissen zum Stand 14.07.2026; Fixversion gegen das Hersteller-Advisory abgleichen. Argos Security ist ISO/IEC 27001 (TÜV SÜD) zertifiziert.
Für genau diese Schwachstelle ausgewählt – nicht für jede.
SOFORTMASSNAHME
Zu dieser Schwachstelle sind Kompromittierungs-Indikatoren bekannt. Vor dem Patch gehört geprüft, ob sie bei Ihnen bereits gegriffen hat. Über den Notfallkontakt erreichen Sie uns rund um die Uhr; für Kunden mit IR-Vertrag mit Rückruf innerhalb von 30 Minuten.
LAUFENDE LEISTUNG
Worauf wir im Cyber Defense Center bei dieser Schwachstelle achten: Anomale Anfragen an das Expedition-Interface und die Nutzung darüber abgeflossener Firewall-Zugangsdaten. Das setzt voraus, dass die dafür nötigen Logquellen angebunden sind. Auffälligkeiten eskalieren wir rund um die Uhr.
LAUFENDE LEISTUNG
Wenn eine Ausnutzung erst nach dem Einstieg sichtbar wird, entscheidet die Korrelation über Endpunkt, Netzwerk und Identität.
Unsere Leistungen ergänzen bestehende Hersteller- und Supportverträge, sie ersetzen sie nicht. Sie arbeiten bereits mit einem MDR-Anbieter? Dann holen Sie zu dieser Schwachstelle eine Zweitmeinung ein.