SECURITY ADVISORY

Root-Befehlsausführung im PAN-OS Management-Interface

Über die Web-Verwaltungsoberfläche von PAN-OS lassen sich Befehle mit Root-Rechten auf der Firewall ausführen. Für sich genommen setzt die Lücke einen Verwaltungszugang voraus – in freier Wildbahn wird sie jedoch mit dem Authentifizierungs-Bypass CVE-2024-0012 verkettet, sodass ein nicht angemeldeter Angreifer aus dem Internet die vollständige Kontrolle über das Gerät erlangt. Die Ausnutzung läuft seit dem 18. November 2024.

CVE-ID

CVE-2024-9474

CVSS

6,9

Schweregrad

Mittel

Hersteller

Palo Alto Networks

Produkt

PAN-OS Management-Interface

Veröffentlicht

14.07.2026

CISA-KEV

Gelistet

Advisory als PDF herunterladen

Analyse

Warum die Lücke wirkt

Die Web-Verwaltungsoberfläche von PAN-OS reicht Eingaben ungeprüft in einen Betriebssystem-Befehl weiter (OS Command Injection, CWE-78). Ein angemeldeter Administrator kann so Kommandos mit Root-Rechten ausführen. Der nötige Verwaltungszugang entfällt in der Praxis, weil Angreifer die Lücke mit dem Authentifizierungs-Bypass CVE-2024-0012 verketten und dadurch ohne gültige Zugangsdaten auf das Management-Interface gelangen.

Angriffskette

  1. Interface exponiert – PAN-OS-Management-Web-Oberfläche ist aus dem Internet erreichbar
  2. Auth umgehen – CVE-2024-0012 verschafft unauthentifizierten Zugriff auf das Management-Interface
  3. Root-Befehl – CVE-2024-9474 führt Kommandos mit Root-Rechten aus
  4. Persistenz – PHP-Webshell, Open-Source-C2-Tools und Krypto-Miner nachgeladen

Betroffene Versionen und Fixes

PAN-OS-ZweigVerwundbarFixversion
10.1< 10.1.14-h610.1.14-h6
10.2< 10.2.12-h210.2.12-h2
11.0< 11.0.6-h111.0.6-h1
11.1< 11.1.5-h111.1.5-h1
11.2< 11.2.4-h111.2.4-h1
Cloud NGFW · Prisma Accessnicht betroffen

Das Advisory nennt je Zweig zahlreiche freigegebene Hotfix-Builds; die angegebenen Fixversionen sind die empfohlenen Ziel-Builds. Betroffen sind nur Geräte mit erreichbarem PAN-OS-Management-Web-Interface. Exakte Build-Ranges des eigenen Zweigs gegen das Hersteller-Advisory abgleichen.

Regulatorischer Hinweis: Ein bestätigter unbefugter Zugriff auf die Firewall kann eine meldepflichtige Verletzung darstellen – DSGVO unverzüglich (i. d. R. 72 h), NIS-2 nach den für Sie geltenden Fristen. Die Meldung bleibt bei Ihnen; wir unterstützen bei Bewertung und Dokumentation.

Chronologie

  • 18.11.2024 – Palo Alto Advisory · CISA KEV · erste Ausnutzung
  • 19.11.2024 – Technische Details öffentlich – Angriffe nehmen zu
  • 20.11.2024 – Unit 42 „Operation Lunar Peek": Webshells, C2, Miner
  • 09.12.2024 – CISA-Frist für US-Bundesbehörden

Maßnahmenplan

In dieser Reihenfolge – Mitigation vor Patch, Patch vor Entwarnung.

  • Sofort: Management-Interface abschotten
  • Kurzfristig: Patch einspielen
  • Parallel: Threat Hunting / IoC-Abgleich
  1. Betroffenheit feststellen
    PAN-OS-Version je Zweig prüfen und feststellen, ob das Management-Web-Interface aus dem Internet oder aus nicht vertrauenswürdigen Netzen erreichbar ist. Nur exponierte, ungepatchte Geräte sind praktisch gefährdet.
  2. Sofort mitigieren (vor dem Patch)
    Zugriff auf das Management-Interface ausschließlich auf vertrauenswürdige interne IP-Adressen beschränken und jede Erreichbarkeit aus dem Internet unterbinden – der vom Hersteller genannte Behelf. Zusätzlich die für diese Schwachstelle bereitgestellten Threat-Prevention-/IPS-Signaturen aktivieren, sofern lizenziert.
  3. Patchen
    Auf die Fixversion des eigenen Zweigs aktualisieren (10.1.14-h6 · 10.2.12-h2 · 11.0.6-h1 · 11.1.5-h1 · 11.2.4-h1 bzw. den passenden Hotfix-Build). CVE-2024-0012 wird durch dieselben Versionen geschlossen – beide Lücken gemeinsam beheben.
  4. Kompromittierung ausschließen
    Gerät auf hinterlassene PHP-Webshells, unerwartete Konfigurationsänderungen, neue Cron-Jobs und Management-Zugriffe aus fremden Quellen untersuchen. Ein Tech-Support-File zur forensischen Auswertung sichern. Ein Patch schließt die Lücke – nicht einen bereits erfolgten Zugriff.
  5. Kette bewerten
    Die reale Gefahr entsteht aus der Verkettung mit dem Auth-Bypass CVE-2024-0012. Beide CVEs stehen in der CISA-KEV-Liste; die Absicherung des Management-Perimeters ist die wirksamste dauerhafte Gegenmaßnahme.

Kompromittierungs-Indikatoren

  • Web-Shell (SHA-256): 3c5f9034c86cb1952aa5bb07b4f77ce7
    d8bb5cc9fe5c029a32c72adc7e814668
  • Auffälliger User-Agent: Mozilla/5.0 (Windows NT 6.3;
    Trident/7.0; rv 11.0) like Gecko
  • Angreifer-Quellen: Zugriffe über anonyme VPN-/Proxy-Dienste; laufend gepflegte IP-Liste im Unit-42-Threat-Intel-Repository

Zur Einordnung: Der Zugriff auf das Management-Interface ist regulärer Administrations-Verkehr – auffällig nur aus fremden Quellen oder nach dem Auth-Bypass. Hashes, User-Agent und IPs sind eine Momentaufnahme der beobachteten Kampagne und flüchtig – kein Ersatz für die forensische Prüfung des Geräts.

Wichtig: Nach der Übernahme agiert der Angreifer mit Root-Rechten auf der Firewall selbst – Webshells und C2-Kanäle laufen unterhalb üblicher Netzwerk-Alarme. Ohne forensische Prüfung des Geräts bleibt ein bereits erfolgter Zugriff unsichtbar.

Empfehlung für die Geschäftsleitung

  • Management-Interface heute vom Internet trennen; Patch für CVE-2024-9474 und CVE-2024-0012 innerhalb der CISA-Frist einspielen.
  • Firewalls forensisch auf Webshells und unautorisierte Änderungen prüfen lassen – dokumentiert für eine etwaige Meldung.
  • Grundsatz durchsetzen: keine Verwaltungsoberflächen im offenen Internet.

Primärquellen

Palo Alto Networks Security Advisory CVE-2024-9474 · NVD (NIST) CVE-2024-9474 · CISA Known Exploited Vulnerabilities Catalog (hinzugefügt 18.11.2024, Frist 09.12.2024) · Unit 42 „Operation Lunar Peek". Angaben nach bestem Wissen zum Stand 14.07.2026; Fixversionen und Build-Ranges gegen das Hersteller-Advisory des jeweiligen Zweigs abgleichen. Argos Security ist ISO/IEC 27001 (TÜV SÜD) zertifiziert.

So unterstützt Sie Argos Security

Für genau diese Schwachstelle ausgewählt – nicht für jede.

  • LAUFENDE LEISTUNG

    Cyber Defense Center →

    Worauf wir im Cyber Defense Center bei dieser Schwachstelle achten: Unerwartete Root-Kommandos und neue Dateien auf der Firewall sowie Management-Zugriffe aus fremden Quellen. Das setzt voraus, dass die dafür nötigen Logquellen angebunden sind. Auffälligkeiten eskalieren wir rund um die Uhr.

  • PROJEKT

    CTEM – Continuous Threat Exposure Management →

    Ältere Versionszweige haben hier keinen eigenen Fix, es bleibt nur die Migration. CTEM macht solche End-of-Life-Expositionen sichtbar und priorisiert die Upgrades.

Unsere Leistungen ergänzen bestehende Hersteller- und Supportverträge, sie ersetzen sie nicht. Sie arbeiten bereits mit einem MDR-Anbieter? Dann holen Sie zu dieser Schwachstelle eine Zweitmeinung ein.