Palo Alto Networks PAN-OS: fehlende Authentifizierung für kritische Funktion (CVE-2024-0012)

Was ist betroffen, was ist zu tun

Ein Authentifizierungsumgehung in der Palo Alto Networks PAN-OS Software ermöglicht es einem unauthentifizierten Angreifer mit Netzwerkzugang zur Verwaltungsweb-Schnittstelle, Administratorrechte für PAN-OS zu erlangen, um administrative Aktionen durchzuführen, die Konfiguration zu verändern oder andere Authentifizierungsprivilegien-Eskalationsanfälligkeiten wie CVE-2024-9474 auszunutzen (https://security.paloaltonetworks.com/CVE-2024-9474). Das Risiko dieses Problems wird erheblich verringert, wenn der Zugang zur Verwaltungsweb-Schnittstelle gesichert wird, indem der Zugriff auf vertrauenswürdige interne IP-Adressen beschränkt wird, gemäß unseren empfohlenen Best Practices für die Bereitstellung (https://live.paloaltonetworks.com/t5/community-blogs/tips-amp-tricks-how-to-secure-the-management-access-of-your-palo/ba-p/464431).

Die Schwachstelle wird aktiv ausgenutzt; behandeln Sie sie vorrangig. CISA führt sie als in Ransomware-Kampagnen genutzte Schwachstelle. Aktualisieren Sie Palo Alto Networks PAN-OS auf Version 11.2.4-h1, Palo Alto Networks PAN-OS auf Version 11.1.5-h1, Palo Alto Networks PAN-OS auf Version 11.0.6-h1. Sofortmaßnahmen, Mitigation und Erkennungsregeln stehen im Runbook unten.

Betroffen

• Palo Alto Networks PAN-OS lt 11.2.0..11.2.4-h1
• Palo Alto Networks PAN-OS lt 11.1.0..11.1.5-h1
• Palo Alto Networks PAN-OS lt 11.0.0..11.0.6-h1
• Palo Alto Networks PAN-OS lt 10.2.0..10.2.12-h2

Behoben in

• Palo Alto Networks PAN-OS 11.2.4-h1
• Palo Alto Networks PAN-OS 11.1.5-h1
• Palo Alto Networks PAN-OS 11.0.6-h1
• Palo Alto Networks PAN-OS 10.2.12-h2

Unklar, ob und wie Sie betroffen sind? Frage zu dieser Schwachstelle stellen

Metriken

Behebung und Mitigation

1. 01

   Schritt 1 im Runbook

   Sofort-Response (0-24 h)

   • Expositionsprüfung der Management-Schnittstelle: Prüfen, ob das Web-Management (HTTPS) aus dem Internet oder aus nicht vertrauenswürdigen Netzsegmenten erreichbar ist. Das gilt für den dedizierten MGT-Port ebenso wie für Datenschnittstellen mit aktiviertem Interface Management Profile (HTTPS/HTTP), etwa auf GlobalProtect-Portal- oder Gateway-Interfaces. Exponierte Geräte haben höchste Priorität.
   • Patch einspielen: PAN-OS auf eine korrigierte Version aktualisieren – 10.2.12-h2, 11.0.6-h1, 11.1.5-h1 oder 11.2.4-h1 (bzw. neuer im jeweiligen Release-Zweig). Hotfixes für weitere Maintenance-Releases bitte im Vendor-Advisory nachschlagen. Der Patch behebt zugleich die verkettete Rechteausweitung CVE-2024-9474 – beide CVEs gemeinsam behandeln.
   • Zugriff sofort einschränken, falls der Patch nicht innerhalb von Stunden möglich ist: Unter Device > Setup > Interfaces > Management > Permitted IP Addresses nur dedizierte Admin-Jump-Hosts zulassen. HTTPS/HTTP aus allen Interface Management Profiles auf extern erreichbaren Schnittstellen entfernen.
   • Kompromittierungsprüfung vor dem Patch: Konfigurationsstand sichern (Running Config, Config-Audit) und ein Tech Support File erzeugen. Ein Patch entfernt bereits abgelegte Webshells oder neu angelegte Admin-Konten nicht. Bei Auffälligkeiten den Palo-Alto-TAC-Prozess für ein Enhanced Factory Reset einleiten.
   • Anmeldedaten rotieren bei Kompromittierungsverdacht: lokale Admin-Passwörter, API-Keys, in der Konfiguration hinterlegte Secrets (LDAP/RADIUS-Bind-Accounts, IPsec-PSKs, Zertifikats-Private-Keys, GlobalProtect-Portal-Zertifikate) ersetzen, da ein Angreifer mit Administratorrechten die vollständige Konfiguration exportieren kann.
2. 02

   Schritt 2 im Runbook

   Mitigation-Layer

   • Netzsegmentierung: Die Management-Ebene ausschließlich über ein isoliertes Out-of-Band-Management-VLAN erreichbar machen. Der Zugriff erfolgt nur über PAM-gestützte Jump-Hosts mit MFA, ein Internet-Zugriff auf den MGT-Port ist grundsätzlich zu unterbinden. Vorgelagerte ACLs sollen TCP/443 und TCP/22 zur Management-IP auf eine Allowlist begrenzen.
   • IPS/Threat Prevention: Die von Palo Alto bereitgestellten Threat-Prevention-Signaturen für CVE-2024-0012 und CVE-2024-9474 aktivieren (Threat IDs im Vendor-Advisory nachschlagen). Das wirkt nur, wenn der Management-Zugriff über eine Datenschnittstelle läuft und dort ein Security Profile mit Aktion „block“ greift; den MGT-Port deckt das nicht ab.
   • Vorgelagerte IDS-Regel (Suricata/Snort): HTTP-Anfragen an die Firewall-Management-IP mit dem Header X-PAN-AUTHCHECK: off alarmieren bzw. verwerfen. Ebenso Pfade unter /php/ mit angehängter .js.php-Endung, z. B. ztp_gate.php/.js.php. Voraussetzung ist TLS-Inspection oder die Auswertung von Logs eines Reverse Proxys.
   • IAM/Least Privilege: Admin-Rollen auf das notwendige Minimum reduzieren (Admin Role Profiles), ungenutzte lokale Konten löschen und Admin-Authentifizierung per SAML/RADIUS mit MFA durchsetzen. Ein vollständiger Schutz gegen den Authentifizierungs-Bypass ist das nicht, es erschwert aber die Persistenz.
   • Monitoring der Management-Ebene: Ausgehende Verbindungen der Firewall-Management-IP auf notwendige Ziele beschränken (Update-Server, NTP, DNS, Syslog, Panorama). Unerwartete Egress-Verbindungen, etwa für Reverse Shells oder den Download von Tools, werden so blockiert.
3. 03

   Schritt 3 im Runbook

   Detection-Regeln

   • Webserver-/Proxy-Logs: Anfragen an die Management-Oberfläche mit Header X-PAN-AUTHCHECK: off oder mit URI-Muster \/php\/.*\.php\/.*\.js\.php sind ein starker Indikator. SPL: index=proxy dest_ip=<mgmt_ip> (uri="*.js.php" OR http_header="*X-PAN-AUTHCHECK*").
   • PAN-OS Config- und System-Logs (Syslog → SIEM): Neu angelegte Administratorkonten, Konfigurationsänderungen oder Commits ohne zugehöriges Change-Ticket bzw. von unbekannten Quell-IPs sind zu prüfen. Auffällige Benutzernamen mit Shell-Metazeichen ($(, Backticks, ;) deuten auf eine Ausnutzung von CVE-2024-9474 hin. SPL: index=pan sourcetype=pan:config (cmd=add OR cmd=set) path="*mgt-config users*" | stats count by src, admin, path.
   • Admin-Authentifizierung: Erfolgreiche Admin-Sessions bzw. Aktionen ohne vorausgehendes Login-Ereignis (auth-success) im System-Log sowie Admin-Logins aus nicht freigegebenen Netzen sollten alarmieren. Sigma-Form: logsource: paloalto/system; selection: eventid: auth-success; filter: src_ip|cidr not in admin_jumphosts.
   • Netztelemetrie (Zeek/NetFlow): Ausgehende Verbindungen der Management-IP zu unbekannten Zielen sind verdächtig, insbesondere Downloads per HTTP(S) und langlebige TCP-Sessions als mögliche Reverse Shell. Zeek: conn.log mit id.orig_h == <mgmt_ip> und id.resp_h außerhalb der Allowlist.
   • Dateisystem-Indikatoren (Tech Support File/TAC): Unerwartete PHP-Dateien im Web-Root der Management-Oberfläche (z. B. unter /var/appweb/htdocs/unauth/) gelten als Webshell-Verdacht. Die Analyse erfolgt über das TSF in Abstimmung mit dem TAC und anhand der vom Hersteller veröffentlichten IoCs.

Erkennungsregeln

Für diese Schwachstelle liegt noch keine NEOSEC-Erkennungsregel vor.

Einordnung nach NIS2 und CRA

Regelbasierte Einordnung aus Ausnutzungsstatus und Schweregrad. Sie ersetzt keine Prüfung im Einzelfall.

NIS2

NIS2 ist die EU-Richtlinie (EU) 2022/2555 zur Erhöhung des Cybersicherheitsniveaus in der Union. Sie weitet Pflichten gegenüber der ersten NIS-Richtlinie deutlich aus: mehr Sektoren, verbindliches Risikomanagement, gestufte Meldepflichten und persönliche Verantwortung der Geschäftsleitung.

Im Glossar lesen

Aktiv ausgenutzt: Behandeln Sie die Schwachstelle im Schwachstellenmanagement nach Art. 21 Abs. 2 lit. e NIS2 vorrangig. Wird sie in Ihrer Umgebung ausgenutzt, prüfen Sie die Meldepflicht nach Art. 23 (Frühwarnung binnen 24 Stunden).

CRA

Der CRA ist die EU-Verordnung (EU) 2024/2847 mit horizontalen Cybersicherheitsanforderungen an „Produkte mit digitalen Elementen“ — von Industriesteuerungen über Software bis zu vernetzten Verbrauchergeräten. Erstmals müssen Hersteller Sicherheit über den gesamten Produktlebenszyklus gewährleisten, Schwachstellen behandeln und Sicherheitsupdates bereitstellen.

Im Glossar lesen

Seit dem 11.09.2026 müssen Hersteller betroffener Produkte mit digitalen Elementen aktiv ausgenutzte Schwachstellen nach Art. 14 CRA melden, mit Frühwarnung binnen 24 Stunden über die zentrale Meldeplattform der ENISA.

ISO/IEC 27001

ISO/IEC 27001 ist der international führende Standard für ein Informationssicherheits-Managementsystem (ISMS). Er beschreibt einen risikobasierten, prozessorientierten Rahmen, um Informationssicherheit systematisch zu planen, umzusetzen, zu überprüfen und zu verbessern.

Im Glossar lesen

Maßnahme A.8.8, Management technischer Schwachstellen: Relevanz für Ihre Systeme bewerten, Behebung einplanen und nachweisen.

Beschreibung

Ein Authentifizierungsumgehung in der Palo Alto Networks PAN-OS Software ermöglicht es einem unauthentifizierten Angreifer mit Netzwerkzugang zur Verwaltungsweb-Schnittstelle, Administratorrechte für PAN-OS zu erlangen, um administrative Aktionen durchzuführen, die Konfiguration zu verändern oder andere Authentifizierungsprivilegien-Eskalationsanfälligkeiten wie CVE-2024-9474 auszunutzen (https://security.paloaltonetworks.com/CVE-2024-9474). Das Risiko dieses Problems wird erheblich verringert, wenn der Zugang zur Verwaltungsweb-Schnittstelle gesichert wird, indem der Zugriff auf vertrauenswürdige interne IP-Adressen beschränkt wird, gemäß unseren empfohlenen Best Practices für die Bereitstellung (https://live.paloaltonetworks.com/t5/community-blogs/tips-amp-tricks-how-to-secure-the-management-access-of-your-palo/ba-p/464431). Dieses Problem betrifft nur PAN-OS 10.2, PAN-OS 11.0, PAN-OS 11.1 und PAN-OS 11.2 Software. Cloud NGFW und Prisma Access sind von dieser Anfälligkeit nicht betroffen.

Originalquelle nur englisch verfügbar, maschinell ins Deutsche übersetzt.

Quelle: pwn.watch, CSA/SingCERT, CISA KEV Catalog, cvelistv5, NVD (NIST), CVE.org (MITRE)

Hersteller und Produkte

• Palo Alto Networks Pan-os
• Palo Alto Networks Palo Alto Networks PAN-OS

Weakness-Klassen (CWE)

• CWE-306Missing Authentication for Critical Function

  Base

  The product does not perform any authentication for functionality that requires a provable user identity or consumes a significant amount of resources.

  Eintrag bei MITRE CWE-306

Quellen & Referenzen

• security.paloaltonetworks.comCVE-2024-0012 PAN-OS: authentication bypass in the management web interfaceHerstellerhinweis, pwn-watch
• labs.watchtowr.compots-and-pans-aka-an-sslvpn-palo-alto-pan-os-cve-2024-0012-and-…
• cisa.govknown-exploited-vulnerabilities-catalog?field_cve=CVE-2024-0012government-resource
• unit42.paloaltonetworks.comcve-2024-0012-cve-2024-9474
• cert.cyber.gouv.frANSSI / CERT-FR: CERTFR-2024-ALE-015 – [MàJ] Multiples vulnérabilités sur l'interface d'administration des équipements Palo Alto Networks (clôturée 2025-01-27)cert-fr
• pwn.watchpwn.watch: Palo Alto PAN-OS management interface auth bypass + privilege escalationpwn-watch
• security.paloaltonetworks.comCVE-2024-9474 PAN-OS: privilege escalation in the management web interfacepwn-watch
• NVD (NIST)NVD: CVE-2024-0012pwn-watch
• NVD (NIST)NVD: CVE-2024-9474pwn-watch
• cisa.govCISA Known Exploited Vulnerabilities Catalogpwn-watch