Über die Web-Verwaltungsoberfläche von PAN-OS lassen sich Befehle mit Root-Rechten auf der Firewall ausführen. Für sich genommen setzt die Lücke einen Verwaltungszugang voraus – in freier Wildbahn wird sie jedoch mit dem Authentifizierungs-Bypass CVE-2024-0012 verkettet, sodass ein nicht angemeldeter Angreifer aus dem Internet die vollständige Kontrolle über das Gerät erlangt. Die Ausnutzung läuft seit dem 18. November 2024.
Advisory als PDF herunterladenDie Web-Verwaltungsoberfläche von PAN-OS reicht Eingaben ungeprüft in einen Betriebssystem-Befehl weiter (OS Command Injection, CWE-78). Ein angemeldeter Administrator kann so Kommandos mit Root-Rechten ausführen. Der nötige Verwaltungszugang entfällt in der Praxis, weil Angreifer die Lücke mit dem Authentifizierungs-Bypass CVE-2024-0012 verketten und dadurch ohne gültige Zugangsdaten auf das Management-Interface gelangen.
| PAN-OS-Zweig | Verwundbar | Fixversion |
|---|---|---|
| 10.1 | < 10.1.14-h6 | 10.1.14-h6 |
| 10.2 | < 10.2.12-h2 | 10.2.12-h2 |
| 11.0 | < 11.0.6-h1 | 11.0.6-h1 |
| 11.1 | < 11.1.5-h1 | 11.1.5-h1 |
| 11.2 | < 11.2.4-h1 | 11.2.4-h1 |
| Cloud NGFW · Prisma Access | nicht betroffen | — |
Das Advisory nennt je Zweig zahlreiche freigegebene Hotfix-Builds; die angegebenen Fixversionen sind die empfohlenen Ziel-Builds. Betroffen sind nur Geräte mit erreichbarem PAN-OS-Management-Web-Interface. Exakte Build-Ranges des eigenen Zweigs gegen das Hersteller-Advisory abgleichen.
Regulatorischer Hinweis: Ein bestätigter unbefugter Zugriff auf die Firewall kann eine meldepflichtige Verletzung darstellen – DSGVO unverzüglich (i. d. R. 72 h), NIS-2 nach den für Sie geltenden Fristen. Die Meldung bleibt bei Ihnen; wir unterstützen bei Bewertung und Dokumentation.
In dieser Reihenfolge – Mitigation vor Patch, Patch vor Entwarnung.
10.1.14-h6 · 10.2.12-h2 · 11.0.6-h1 · 11.1.5-h1 · 11.2.4-h1 bzw. den passenden Hotfix-Build). CVE-2024-0012 wird durch dieselben Versionen geschlossen – beide Lücken gemeinsam beheben.CVE-2024-0012. Beide CVEs stehen in der CISA-KEV-Liste; die Absicherung des Management-Perimeters ist die wirksamste dauerhafte Gegenmaßnahme.3c5f9034c86cb1952aa5bb07b4f77ce7
d8bb5cc9fe5c029a32c72adc7e814668Mozilla/5.0 (Windows NT 6.3;
Trident/7.0; rv 11.0) like GeckoZur Einordnung: Der Zugriff auf das Management-Interface ist regulärer Administrations-Verkehr – auffällig nur aus fremden Quellen oder nach dem Auth-Bypass. Hashes, User-Agent und IPs sind eine Momentaufnahme der beobachteten Kampagne und flüchtig – kein Ersatz für die forensische Prüfung des Geräts.
Wichtig: Nach der Übernahme agiert der Angreifer mit Root-Rechten auf der Firewall selbst – Webshells und C2-Kanäle laufen unterhalb üblicher Netzwerk-Alarme. Ohne forensische Prüfung des Geräts bleibt ein bereits erfolgter Zugriff unsichtbar.
Palo Alto Networks Security Advisory CVE-2024-9474 · NVD (NIST) CVE-2024-9474 · CISA Known Exploited Vulnerabilities Catalog (hinzugefügt 18.11.2024, Frist 09.12.2024) · Unit 42 „Operation Lunar Peek". Angaben nach bestem Wissen zum Stand 14.07.2026; Fixversionen und Build-Ranges gegen das Hersteller-Advisory des jeweiligen Zweigs abgleichen. Argos Security ist ISO/IEC 27001 (TÜV SÜD) zertifiziert.
Für genau diese Schwachstelle ausgewählt – nicht für jede.
LAUFENDE LEISTUNG
Worauf wir im Cyber Defense Center bei dieser Schwachstelle achten: Unerwartete Root-Kommandos und neue Dateien auf der Firewall sowie Management-Zugriffe aus fremden Quellen. Das setzt voraus, dass die dafür nötigen Logquellen angebunden sind. Auffälligkeiten eskalieren wir rund um die Uhr.
PROJEKT
Ältere Versionszweige haben hier keinen eigenen Fix, es bleibt nur die Migration. CTEM macht solche End-of-Life-Expositionen sichtbar und priorisiert die Upgrades.
Unsere Leistungen ergänzen bestehende Hersteller- und Supportverträge, sie ersetzen sie nicht. Sie arbeiten bereits mit einem MDR-Anbieter? Dann holen Sie zu dieser Schwachstelle eine Zweitmeinung ein.