Palo Alto Networks PAN-OS: Offenlegung sensitiver Informationen über Dataplane
Zusammenfassung
Eine Schwachstelle in PAN-OS, dem Betriebssystem der Palo Alto Networks Firewalls, erlaubt einem nicht authentifizierten Angreifer mit Netzwerkzugriff, sensitive Firewall- und Session-Informationen einzusehen. Dazu genügt es, Traffic an eine Dataplane-Schnittstelle oder über diese zu senden. Panorama ist nicht betroffen, und für die Exposition ist keine besondere Konfiguration erforderlich.
Betroffen
- PAN-OS 12.2.0 bis vor 12.2.4-h2
- PAN-OS 12.1.0 bis vor 12.1.10-h4
- PAN-OS 11.2.0 bis vor 11.2.16-h2
- PAN-OS 11.1.0 bis vor 11.1.16-h5
- PAN-OS 10.2.0 bis vor 10.2.18-h14
- Prisma Access 12.1, 11.2 und 10.2 (vom Anbieter verwaltet, vor den im Advisory aufgeführten Fixversionen)
- Cloud NGFW: vom Anbieter verwaltet, siehe Advisory
- Ältere, nicht mehr unterstützte PAN-OS-Versionen sind betroffen; dafür gibt es keinen Fix.
Behoben in
- PAN-OS 12.2: 12.2.4-h2 oder neuer
- PAN-OS 12.1: 12.1.10-h4 oder neuer (12.1.7-h12 und 12.1.4-h14 für ältere Hotfix-Zweige)
- PAN-OS 11.2: 11.2.16-h2 oder neuer (11.2.13-h5, 11.2.10-h18, 11.2.7-h24 und 11.2.4-h24 für ältere Hotfix-Zweige)
- PAN-OS 11.1: 11.1.16-h5 oder neuer (11.1.13-h17, 11.1.10-h37, 11.1.7-h13, 11.1.6-h41 und 11.1.4-h39 für ältere Hotfix-Zweige)
- PAN-OS 10.2: 10.2.18-h14 oder neuer (10.2.16-h13, 10.2.13-h28, 10.2.10-h43 und 10.2.7-h40 für ältere Hotfix-Zweige)
- Die genaue Fixversion für jeden Zweig ist im aktuellen Advisory zu prüfen.
Umgehung
Unbekannt.
- Der Anbieter gibt an, dass für diese Schwachstelle keine bekannten Workarounds existieren.
Ausnutzung
- Palo Alto Networks ist keine missbräuchliche Ausnutzung dieser Schwachstelle bekannt.
- Es wurde kein öffentlicher Proof of Concept gefunden; VulDB meldet keinen verfügbaren Exploit.
- In den geprüften Quellen ist die Schwachstelle nicht im CISA-KEV-Katalog aufgeführt.
Unsere Empfehlung
- PAN-OS auf die Fixversion für den eigenen Zweig aktualisieren; bei aus dem Internet erreichbaren Firewalls die Aktualisierung vorziehen.
- Prüfen, welche Dataplane-Schnittstellen aus unvertrauenswürdigen Netzen erreichbar sind, und den Zugriff wo möglich einschränken.
- Vor und nach dem Patchen das aktuelle Advisory und den CISA-KEV-Katalog prüfen.
- Firewall-Logs auf ungewöhnlichen Traffic zu oder über Dataplane-Schnittstellen überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Palo Alto Networks Security Advisory CVE-2026-0331 security.paloaltonetworks.com
- CVE Program record CVE-2026-0331 www.cve.org
- VulDB CVE-2026-0331 vuldb.com
- PAN-OS 11.1.16-h5 addressed issues docs.paloaltonetworks.com
- OffSeq Radar CVE-2026-0331 radar.offseq.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 21:22.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.