PAN-OS: Pufferüberlauf ermöglicht Denial of Service

Zusammenfassung

Ein Pufferüberlauf im Dataplane von Palo Alto Networks PAN-OS erlaubt einem nicht authentifizierten Angreifer mit Netzwerkzugriff, die Firewall durch speziell präparierten Netzwerkverkehr zum Absturz zu bringen oder zu stören. Gemäss CVSS-Vektor sind Vertraulichkeit und Integrität nicht betroffen, die Verfügbarkeit jedoch stark. Cloud NGFW und Panorama sind nicht betroffen, und gemäss Herstellerangaben sind Kunden nur unter bestimmten Konfigurationen betroffen.

Betroffen

• PAN-OS 12.2.0 bis unter 12.2.4-h2
• PAN-OS 12.1: Builds unterhalb der jeweiligen Fix-Builds des Zweigs (zum Beispiel 12.1.10-h4, 12.1.7-h12, 12.1.4-h14)
• PAN-OS 11.2: Builds unterhalb der jeweiligen Fix-Builds des Zweigs (zum Beispiel 11.2.16-h2, 11.2.13-h5, 11.2.10-h18, 11.2.7-h24, 11.2.4-h24)
• PAN-OS 11.1: Builds unterhalb der jeweiligen Fix-Builds des Zweigs (zum Beispiel 11.1.16-h5)
• PAN-OS 10.2: Builds unterhalb der jeweiligen Fix-Builds des Zweigs (zum Beispiel 10.2.18-h14)
• Ältere, nicht mehr unterstützte PAN-OS-Versionen
• Prisma Access 10.2, 11.2 und 12.1: Builds unterhalb der im Hersteller-Advisory genannten Fix-Versionen
• Cloud NGFW: nicht betroffen
• Panorama: nicht betroffen

Behoben in

• PAN-OS 12.2: 12.2.4-h2 oder neuer
• PAN-OS 12.1: 12.1.10-h4, 12.1.7-h12 oder 12.1.4-h14 oder neuer, je nach Zweig
• PAN-OS 11.2: 11.2.16-h2 oder neuer, oder die im Advisory genannte zweigspezifische Korrektur
• PAN-OS 11.1: 11.1.16-h5 oder neuer
• PAN-OS 10.2: 10.2.18-h14 oder neuer
• Ältere, nicht mehr unterstützte PAN-OS-Versionen: auf eine unterstützte, korrigierte Version aktualisieren

Umgehung

Nur eingeschränkter Schutz. Kunden mit einem Threat-Prevention-Abonnement können die Threat IDs 510051 und 510052 aktivieren (Applications and Threats Content-Version 9171-10349 oder neuer). Das Advisory empfiehlt zudem, den Management-Verkehr über einen Dataplane-Port zu leiten. Die Einschränkung des Management-Interfaces behebt das Problem nicht, da der Angriff über das Dataplane eintrifft.

Ausnutzung

• Palo Alto Networks ist keine missbräuchliche Ausnutzung dieser Schwachstelle bekannt.
• Zum Zeitpunkt der Erstellung wurden kein öffentlicher Proof of Concept und kein Eintrag im CISA KEV-Katalog gefunden.

Unsere Empfehlung

• Prüfen Sie, welche PAN-OS-Firewalls Sie einsetzen und ob diese auf einer betroffenen Version laufen.
• Prüfen Sie die im Advisory genannten Exponierungsbedingungen: ein aktives IKE-Gateway mit Zertifikatsauthentifizierung und CRL- oder OCSP-Prüfung oder ein aktiviertes DNS-Proxy-Objekt.
• Spielen Sie die korrigierte Version im nächsten regulären Wartungsfenster ein, bei Zutreffen der Exponierungsbedingungen früher.
• Überwachen Sie die Verfügbarkeit der Firewall und die Logs auf Abstürze oder unerwartete Neustarts.
• Prüfen Sie den Ausnutzungsstatus nach dem Patchen erneut.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Palo Alto Networks Security Advisory CVE-2026-0329 security.paloaltonetworks.com
• Third-party tracker: CVE-2026-0329 (CWE-787) radar.offseq.com
• Palo Alto Networks Security Advisories CSV security.paloaltonetworks.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 21:24.