PAN-OS CVE-2024-3400 et l'interface d'administration
Dix sur dix. En avril 2024, Palo Alto Networks a révélé une faille qui permettait à n'importe qui sur Internet d'exécuter du code en tant que root sur ses pare-feu, sans s'authentifier. La CISA l'a ajoutée à son catalogue des vulnérabilités exploitées le jour même.
Sept mois plus tard, ce fut au tour de l'interface d'administration.
Le dossier officiel
CVE-2024-3400, dans GlobalProtect, sur PAN-OS 10.2, 11.0 et 11.1 : exécution de code en tant que root, sans authentification, score de 10,0.
Puis CVE-2024-0012, qui donne les droits administrateur sur l'interface web d'administration sans authentification, et CVE-2024-9474, qui fait d'un administrateur un root. Palo Alto les cite ensemble.
Les trois figurent au catalogue de la CISA, et les trois ont été utilisées par des rançongiciels.
À quel point est-ce facile ?
Pour la première faille, il suffit qu'un portail ou une passerelle GlobalProtect soit configuré sur le pare-feu, et ceux-ci font face à Internet. Pour la deuxième, l'interface d'administration doit être joignable.
Aucun compte. Faible complexité. Palo Alto juge la première automatisable.
Le principe de fonctionnement
Des requêtes atteignent les services propres du pare-feu. La faille exécute le code de l'attaquant sur le pare-feu lui-même, en tant que root.
Dès lors, l'équipement censé filtrer le trafic le laisse passer. Le gardien devient la porte d'entrée.
L'impact
Root sur le pare-feu. Une configuration qui peut être lue et modifiée.
Palo Alto a aussi mis en garde contre des techniques publiques qui permettent de conserver un point d'ancrage malgré les réinitialisations et les mises à jour. Et tout ce qui se trouve derrière le pare-feu lui fait confiance.
Comment fermer la porte
Passez au hotfix correctif de votre version, et Palo Alto insiste : mettez à jour même si vous avez déjà appliqué une mesure d'atténuation. Cantonnez l'interface d'administration aux seules adresses internes de confiance, jamais sur Internet.
À titre provisoire pour la faille GlobalProtect, les signatures Threat Prevention peuvent la bloquer. La désactivation de la télémétrie, suggérée au début, n'est plus considérée comme un correctif.
Ce que NacTrack montre
NacTrack lit la version et le niveau de hotfix de chaque pare-feu PAN-OS, et les confronte aux avis publiés, avec l'indicateur d'exploitation connue de la CISA.
À lire aussi
En octobre 2026, l'interface d'administration de PAN-OS a de nouveau été visée, cette fois par une faille de PHP : PHP2Shell sur PAN-OS.
Sources
Sources : CISA KEV, avis Palo Alto Networks (CVE-2024-3400, 0012, 9474), NVD.
Formation défensive : l'attaque est montrée dans son principe seulement, sans étape d'exploitation, outil ni charge utile. Les sorties de commande et les configurations sont des exemples ; vérifiez votre plateforme et votre version dans la documentation du constructeur.
Savoir où votre réseau est exposé
NacTrack relève les versions et les configurations sur vos équipements, et les confronte aux avis publiés.