Palo Alto GlobalProtect App: Rechteausweitung zu SYSTEM über OPSWAT-SDK unter Windows
Zusammenfassung
Das OPSWAT MetaDefender Endpoint Security SDK, das von der GlobalProtect App unter Windows verwendet wird, enthält einen Fehler in der Rechteverwaltung. Ein lokal angemeldeter Windows-Benutzer ohne Administratorrechte kann seine Rechte auf NT AUTHORITY\SYSTEM erweitern, was die volle Kontrolle über den Endpunkt ermöglicht. Der Angreifer benötigt ein lokales Konto auf dem betroffenen System; für die Betroffenheit ist keine spezielle Konfiguration erforderlich.
Betroffen
- MetaDefender Endpoint Security SDK 4.3.0 bis vor 4.3.4822 unter Windows
- GlobalProtect App 6.3 unter Windows: 6.3.0 bis 6.3.3-h2
- GlobalProtect App 6.2 unter Windows: 6.2.0 bis 6.2.8-h3
- GlobalProtect App unter macOS, Linux, iOS, Android und UWP: laut Hersteller nicht betroffen
Behoben in
- MetaDefender Endpoint Security SDK 4.3.4822 und spätere Versionen unter Windows
- GlobalProtect App 6.3 unter Windows: Aktualisierung auf 6.3.3-h3 (6.3.3-711) oder höher
- GlobalProtect App 6.2 unter Windows: Aktualisierung auf 6.2.8-h4 (6.2.8-317) oder höher
Umgehung
Unbekannt. Für diese Schwachstelle sind keine bekannten Workarounds oder Massnahmen vorhanden.
Ausnutzung
- Palo Alto Networks sind keine bösartigen Ausnutzungen dieser Schwachstelle bekannt.
- Die Exploit-Reife ist als UNREPORTED angegeben; es wurde kein öffentlicher Proof of Concept gefunden.
- Nicht direkt geprüft: Eintrag im CISA KEV-Katalog.
Unsere Empfehlung
- Windows-Endpunkte mit GlobalProtect identifizieren und die installierte SDK- und GlobalProtect-Version prüfen.
- GlobalProtect unter Windows auf eine im Hersteller-Advisory aufgeführte Version aktualisieren; die genaue Zielversion vor dem Rollout auf der Advisory-Seite prüfen.
- Gemeinsam genutzte PCs und Geräte von Drittfirmen priorisieren, da ein lokaler Zugriff die Voraussetzung ist.
- Advisory und NVD auf Änderungen des Ausnutzungsstatus überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Palo Alto Networks Security Advisory CVE-2026-0324 security.paloaltonetworks.com
- Palo Alto Networks Security Advisory CVE-2025-0131 (earlier SDK issue) security.paloaltonetworks.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 21:23.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.