Palo Alto Networks - CVE-2026-0322
Date de publication :
Il s’agit d’une vulnérabilité dans l’interface de gestion de PAN-OS.
PAN-OS est le système d’exploitation des pare-feux Palo Alto Networks. Il équipe les gammes PA-Series et VM-Series ainsi que Panorama, la solution de gestion centralisée disponible en versions virtuelle et M-Series.
Le défaut est une injection de code qui touche les pare-feux PA-Series et VM-Series ainsi que Panorama. Aucune configuration particulière n’est nécessaire pour être exposé. L’attaquant doit être authentifié avec des privilèges élevés et avoir un accès réseau à l’interface de gestion. Le risque est maximal lorsque cette interface est accessible depuis Internet.
Elle permet d’exécuter du code arbitraire avec les privilèges root sur le pare-feu.
Informations
La faille est activement exploitée : Oui
Un correctif existe : Oui
Une mesure de contournement existe : Oui
Exécution de code arbitraire (à distance)
Exploitation
CWE-94 : Improper Control of Generation of Code ('Code Injection')
Détails sur l'exploitation
• Vecteur d'attaque : Réseau
• Complexité de l'attaque : Faible
• Privilèges nécessaires pour réaliser l'attaque : Authentification utilisateur à privilège
• Interaction d'un utilisateur ayant accès au produit est-elle nécessaire : Non
• L'exploitation de la faille permet d'obtenir des droits privilégiés : Oui
Preuve de concept
Actuellement, aucune preuve de concept n'est disponible en sources ouvertes.
Systèmes ou composants affectés
PAN-OS 12.2 versions antérieures à 12.2.4.
- PAN-OS 12.1 versions antérieures à 12.1.4-h12, 12.1.7-h8 ou 12.1.10-h2 selon la version mineure.
- PAN-OS 11.2 versions antérieures à 11.2.4-h22, 11.2.7-h21, 11.2.10-h15, 11.2.13-h3 ou 11.2.16 selon la version mineure.
- PAN-OS 11.1 versions antérieures à 11.1.4-h37, 11.1.6-h39, 11.1.7-h11, 11.1.10-h35, 11.1.13-h15 ou 11.1.16-h3 selon la version mineure.
- PAN-OS 10.2 versions antérieures à 10.2.7-h38, 10.2.10-h41, 10.2.13-h26, 10.2.16-h11 ou 10.2.18-h12 selon la version mineure.
Contournement provisoire
• Limiter l’accès à l’interface de gestion à un unique serveur de rebond.
• Activer les Threat ID 510046 et 510047
Solutions ou recommandations
• PAN-OS 12.1 (12.1.8 à 12.1.10-h*) : versions 12.1.10-h2 et supérieures.
• PAN-OS 12.1 (12.1.5 à 12.1.7-h*) : versions 12.1.7-h8 ou 12.1.10-h2 et supérieures.
• PAN-OS 12.1 (12.1.2 à 12.1.4-h*) : versions 12.1.4-h12 ou 12.1.10-h2 et supérieures.
• PAN-OS 11.2 (11.2.14 à 11.2.15) : versions 11.2.16 et supérieures.
• PAN-OS 11.2 (11.2.11 à 11.2.13-h*) : versions 11.2.13-h3 ou 11.2.16 et supérieures.
• PAN-OS 11.2 (11.2.8 à 11.2.10-h*) : versions 11.2.10-h15 ou 11.2.16 et supérieures.
• PAN-OS 11.2 (11.2.5 à 11.2.7-h*) : versions 11.2.7-h21 ou 11.2.16 et supérieures.
• PAN-OS 11.2 (11.2.0 à 11.2.4-h*) : versions 11.2.4-h22 ou 11.2.16 et supérieures.
• PAN-OS 11.1 (11.1.14 à 11.1.16-h*) : versions 11.1.16-h3 et supérieures.
• PAN-OS 11.1 (11.1.11 à 11.1.13-h*) : versions 11.1.13-h15 ou 11.1.16-h3 et supérieures.
• PAN-OS 11.1 (11.1.8 à 11.1.10-h*) : versions 11.1.10-h35 ou 11.1.16-h3 et supérieures.
• PAN-OS 11.1 (11.1.7 à 11.1.7-h*) : versions 11.1.7-h11 ou 11.1.16-h3 et supérieures.
• PAN-OS 11.1 (11.1.5 à 11.1.6-h*) : versions 11.1.6-h39 ou 11.1.16-h3 et supérieures.
• PAN-OS 11.1 (11.1.0 à 11.1.4-h*) : versions 11.1.4-h37 ou 11.1.16-h3 et supérieures.
• PAN-OS 10.2 (10.2.17 à 10.2.18-h*) : versions 10.2.18-h12 et supérieures.
• PAN-OS 10.2 (10.2.14 à 10.2.16-h*) : versions 10.2.16-h11 ou 10.2.18-h12 et supérieures.
• PAN-OS 10.2 (10.2.11 à 10.2.13-h*) : versions 10.2.13-h26 ou 10.2.18-h12 et supérieures.
• PAN-OS 10.2 (10.2.8 à 10.2.10-h*) : versions 10.2.10-h41 ou 10.2.18-h12 et supérieures.
• PAN-OS 10.2 (10.2.0 à 10.2.7-h*) : versions 10.2.7-h38 ou 10.2.18-h12 et supérieures.
• Versions plus anciennes non prises en charge : migration vers une version corrigée prise en charge.