Palo Alto Networks PAN-OS命令注入漏洞（CVE-2024-3400）通告
内容提要
绿盟科技CERT监测到Palo Alto Networks发布安全公告，修复了PAN-OS中的命令注入漏洞。受影响版本为PAN-OS < 11.1.0-h3。官方已发布修复版本，请用户尽快升级。
延伸解读
漏洞危害与利用现状
该漏洞CVSS评分为10.0，属于最高危级别。攻击者无需认证即可通过特制数据包在防火墙上以root权限执行任意代码，完全控制设备。目前漏洞PoC已公开，且发现在野利用，意味着攻击者可能已利用此漏洞进行入侵。用户需立即采取行动，不可抱有侥幸心理。
影响范围与资产排查
受影响版本涵盖PAN-OS 10.2、11.0、11.1等多个分支，具体版本号见公告。Cloud NGFW、Panorama设备和Prisma Access不受影响。用户应检查防火墙Web界面（Network > GlobalProtect > Gateways或Portals）确认是否配置了GlobalProtect网关，若未使用该功能，可考虑禁用。
修复与缓解措施
官方已发布修复版本，如PAN-OS 10.2.9-h1、11.0.4-h1、11.1.2-h3等，部分版本仍在ETA中。建议用户尽快升级至不受影响版本。若无法立即升级，可启用订阅的威胁防护进行临时缓解，并限制对受影响系统的访问。同时，可根据公告提供的IoC信息排查是否已遭入侵。
Q&A
CVE-2024-3400漏洞的影响版本有哪些？
受影响版本为PAN-OS < 11.1.0-h3，包括多个子版本如10.2.5-h6及以下版本。
如何检测我的PAN-OS是否受到CVE-2024-3400漏洞影响？
用户可以通过检查防火墙Web界面中的GlobalProtect网关配置来验证是否受影响。
Palo Alto Networks对CVE-2024-3400漏洞的修复措施是什么？
官方已发布修复版本，建议受影响用户尽快升级到最新版本。
如果无法升级PAN-OS，应该采取什么临时措施？
用户可使用订阅的威胁防护进行临时缓解，并建议限制受影响系统的访问。
CVE-2024-3400漏洞的CVSS评分是多少？
该漏洞的CVSS评分为10.0，属于严重漏洞。
哪些版本的PAN-OS不受CVE-2024-3400漏洞影响？
不受影响的版本包括PAN-OS >= 10.2.9-h1及其他后续版本。
