CVE-2026-0300
Palo Alto Networks PAN-OS Out-of-bounds Write Vulnerability
Beschreibung
CVE-2026-0300 ist eine CRITICAL Out-of-bounds-Write-Schwachstelle (Buffer Overflow) im User-ID Authentication Portal (auch Captive Portal genannt) von Palo Alto Networks PAN-OS, mit einem CVSS-3.1-Score von 9.8. Die Schwachstelle steckt im Code-Pfad der PA-Series- und VM-Series-Firewalls, der eingehenden Authentication-Portal-Traffic verarbeitet, und erlaubt einem unauthentifizierten Angreifer das Ausführen beliebigen Codes mit Root-Rechten durch das Senden speziell präparierter Pakete an den Portal-Service. Betroffen sind die PAN-OS-Release-Branches 10.2, 11.1, 11.2 und 12.1 bis einschließlich der jeweils letzten Pre-Patch-Releases. Prisma Access, Cloud NGFW und Panorama-Appliances sind nicht betroffen. CISA hat CVE-2026-0300 am 6. Mai 2026 mit einer Drei-Tages-Patch-Frist 9. Mai 2026 in den KEV-Katalog aufgenommen, was bestätigte Ausnutzung in freier Wildbahn signalisiert. Der EPSS-Score von 0.053 (90,1. Perzentil) reflektiert erhöhten aktiven Ausnutzungsdruck.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| paloaltonetworks | pan-os | 10.2.0; 10.2.1; 10.2.2; 10.2.3; 10.2.4; 10.2.5; 10.2.6; 10.2.7; 10.2.8; 10.2.9; 10.2.10; 10.2.11; 10.2.12; 10.2.13; 10.2.14; 10.2.15; 10.2.16; 10.2.17; 10.2.18; 11.1.0; 11.1.1; 11.1.2; 11.1.3; 11.1.4; 11.1.5; 11.1.6; 11.1.7; 11.1.8; 11.1.9; 11.1.10; 11.1.11; 11.1.12; 11.1.13; 11.1.14; 11.2.0; 11.2.1; 11.2.2; 11.2.3; 11.2.4; 11.2.5; 11.2.6; 11.2.7; 11.2.8; 11.2.9; 11.2.10; 11.2.11; 12.1.2; 12.1.3; 12.1.4; 12.1.5; 12.1.6 |
| siemens | ruggedcom ape1808 firmware | - |
Referenzen
- https://security.paloaltonetworks.com/CVE-2026-0300(Mitigation, Vendor Advisory)
- https://cert-portal.siemens.com/productcert/html/ssa-967325.html(Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-0300(US Government Resource)
Schwachstellentyp
CWE-787: Out-of-bounds Write
CWE-787 beschreibt einen Memory-Safety-Fehler, bei dem Software Daten über das Ende eines Puffers hinaus oder vor dessen Anfang schreibt und so benachbarten Speicher korrumpiert. In CVE-2026-0300 verarbeitet der User-ID Authentication Portal Service in PAN-OS vom Angreifer gelieferte Paketdaten, ohne deren Größe oder Struktur ausreichend zu validieren, bevor sie in einen Puffer fester Größe kopiert werden. Der resultierende Out-of-bounds-Write erlaubt dem Angreifer, Kontrollstrukturen im Service-Prozess zu korrumpieren und letztlich die Ausführung in vom Angreifer kontrollierten Code mit Root-Rechten auf der Firewall umzulenken. Da das verwundbare Parsen vor jeder Authentifizierungsstufe stattfindet, sind keine Credentials erforderlich, um die Schwachstelle zu erreichen.
Mehr erfahren: CWE-787 — Out-of-bounds Write
Auswirkungsanalyse
CVE-2026-0300 hat einen CVSS-3.1-Score von 9.8 (CRITICAL) mit Vektor AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H: unauthentifiziert, netzwerk-erreichbar, niedrige Komplexität, ohne Benutzerinteraktion und einheitlich High-Wirkung auf Vertraulichkeit, Integrität und Verfügbarkeit. Eine erfolgreiche Ausnutzung ergibt Root-Codeausführung auf der Firewall-Datenebene. Praktische Konsequenzen umfassen vollständige Einsicht in und Modifikation jedes von der Firewall inspizierten Traffics, Diebstahl oder Veränderung der PAN-OS-Konfiguration einschließlich IPsec- und SSL-VPN-Secrets, persistente Backdoor-Installation im Firewall-Image sowie Pivoting ins geschützte Netzwerk, da die Firewall per Definition zwischen Angreifer und geschützten Assets liegt. PAN-OS-Firewalls sind routinemäßig Terminierungspunkte für SSL-VPN-Zugriff, sodass eine Kompromittierung zugleich Zugriff auf Remote-Worker-Credential-Flows und Post-Authentication-Trust impliziert. Das User-ID Authentication Portal ist die Captive-Portal-Schnittstelle zur Benutzeridentifikation, typischerweise erreichbar in Netzwerksegmenten mit Endgeräten und teilweise Gastnetzwerken, wodurch die praktische Angriffsoberfläche über klassische Management-Plane-CVEs hinausgeht.
Exploit-Reifegrad
Öffentliche Exploits: Palo Alto Networks hat das Security Advisory PAN-SA CVE-2026-0300 mit Mitigationshinweisen veröffentlicht. Zum Zeitpunkt der Veröffentlichung ist noch kein öffentlicher Proof-of-Concept-Code erschienen, der Advisory-Text und die CISA-KEV-Listung deuten jedoch darauf hin, dass funktionierende Ausnutzungs-Primitives Angreifern bekannt sind. Aktive Ausnutzung: CISA hat CVE-2026-0300 am 6. Mai 2026 mit Patch-Frist 9. Mai 2026 in den KEV-Katalog aufgenommen. Die Drei-Tages-Frist ist Schwachstellen unter bestätigter Ausnutzung gegen US-Bundesbehörden vorbehalten. Ausnutzungswahrscheinlichkeit: Der EPSS-Score von 0.053 (90,1. Perzentil) ordnet diese CVE in das obere Zehntel der gesamten CVE-Population nach prognostizierter Ausnutzungswahrscheinlichkeit ein. Praktisches Risiko: Internet-exponierte PAN-OS-Firewalls mit aktiviertem und aus untrusted Netzwerken erreichbarem User-ID Authentication Portal sind unmittelbar gefährdet; frühere kritische PAN-OS-Pre-Auth-RCEs (CVE-2024-3400, CVE-2025-0108) wurden binnen weniger Tage nach Disclosure auf Internet-Skala ausgenutzt, und dieselbe Trajektorie ist hier anzunehmen.
Behebung
- PAN-OS sofort auf ein gepatchtes Release aktualisieren. Spielen Sie die gepatchte Version für den betroffenen Branch gemäß PAN-SA Advisory ein: 10.2, 11.1, 11.2 und 12.1 haben jeweils einen behobenen Build, der im Advisory identifiziert ist. Aktualisieren Sie jede PA-Series- und VM-Series-Firewall im gepatchten Release des produktiv eingesetzten Branches, einschließlich HA-Paaren und Disaster-Recovery-Instanzen.
- Hersteller-Workaround bis zum Patchen anwenden. Der CISA-veröffentlichte Workaround beschränkt den Zugriff auf das User-ID Authentication Portal auf vertrauenswürdige Zonen oder deaktiviert das User-ID Authentication Portal, falls es für den Business-Case nicht benötigt wird. Wenden Sie den Workaround auf jeder Firewall an, die nicht im selben Wartungsfenster gepatcht werden kann. Beide Maßnahmen entfernen den unauthentifizierten erreichbaren Pfad, ohne andere Firewall-Services zu beeinträchtigen.
- Auf Kompromittierung prüfen. Inspizieren Sie PAN-OS-System-Logs und vorhandene Packet-Capture-Stores ab mindestens 1. April 2026 auf ungewöhnlichen oder malformten Traffic zum User-ID Authentication Portal Service. Sichten Sie Configuration-Audit-Logs auf unerwartete Änderungen seit diesem Datum, besonders Änderungen an Administrator-Konten, IPsec- und SSL-VPN-Einstellungen sowie Zertifikatsspeichern. Wo möglich, rotieren Sie IPsec-Pre-Shared-Keys, SSL-VPN-Zertifikate und Administrator-Credentials auf jeder Firewall, die vor der Disclosure exponiert und ungepatcht war.
- User-ID-Authentication-Portal-Exposition reduzieren. Langfristig: Beschränken Sie das Captive Portal auf interne Management-VLANs oder ersetzen Sie es durch einen Out-of-Band-Identitätsmechanismus für Benutzer, die echte Captive-Portal-Authentifizierung benötigen. Reduzieren Sie die praktische Angriffsoberfläche auf Netzwerke unter organisatorischer Kontrolle statt auf das öffentliche Internet.
- Langfristige Härtung. Wenden Sie das CWE-787-Mitigationsprinzip im Dependency-Review an: Pre-Auth-Parser für Binärprotokolle auf Netzwerk-Edge-Geräten bleiben eine wiederkehrende Quelle kritischer CVEs, und Palo Alto Networks hatte in den letzten 18 Monaten mehrere davon. Abonnieren Sie Palo Alto Networks PSIRT Advisories, behandeln Sie KEV-gelistete PAN-OS-CVEs mit einer Notfall-24-Stunden-SLA und pflegen Sie ein Inventar jedes PAN-OS-Geräts mit aktueller Version und exponierten Services für schnelle Triage bei künftigen Disclosures.
Technische Details
CVE-2026-0300 ist eine CWE-787 Out-of-bounds-Write-Schwachstelle im User-ID Authentication Portal (Captive Portal) Service von PAN-OS auf PA-Series- und VM-Series-Firewalls. Der CVSS-3.1-Vektor AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H bestätigt unauthentifizierte, niedrig-komplexe Erreichbarkeit über das Netzwerk mit voller High-Wirkung auf Vertraulichkeit, Integrität und Verfügbarkeit. Das Captive Portal verarbeitet eingehende HTTP/HTTPS-Authentication-Portal-Requests auf einer per Firewall-Konfiguration definierten Menge von TCP-Ports; der verwundbare Code kopiert vom Angreifer beeinflusste Paketdaten in einen Puffer fester Größe ohne ausreichende Grenzprüfung und produziert einen Out-of-bounds-Write, der zur Überschreibung von Kontrollstrukturen und letztlich zur Root-Codeausführung im Service gesteuert werden kann. Die betroffene Versionsoberfläche ist ungewöhnlich breit und deckt im Wesentlichen die gesamte 10.2-, 11.1-, 11.2- und 12.1-Release-Linie ab, was darauf hindeutet, dass der fehlerhafte Code über mehrere Major-Release-Zyklen präsent und ausgeliefert war. Prisma Access, Cloud NGFW und Panorama sind explizit nicht betroffen, was den Scope auf On-Premise-PA-Series- und VM-Series-Firewall-Datenebenen einengt. Der Hersteller-Workaround zielt auf die Erreichbarkeit des Captive Portals statt auf den zugrundeliegenden Parser, was mit einem Parser-Rewrite-Fix konsistent ist und nicht mit einer schnellen Konfigurationsmaske.
Häufig gestellte Fragen
Wird CVE-2026-0300 aktiv ausgenutzt?
Ja. CISA hat CVE-2026-0300 am 6. Mai 2026 mit einer Drei-Tages-Patch-Frist 9. Mai 2026 in den KEV-Katalog aufgenommen. Die Frist-Länge ist CVEs unter bestätigter aktiver Ausnutzung vorbehalten. Der EPSS-Score von 0.053 (90,1. Perzentil) reflektiert erhöhten anhaltenden Ausnutzungsdruck.
Welche PAN-OS-Versionen sind betroffen?
PAN-OS-Releases der Branches 10.2, 11.1, 11.2 und 12.1 bis zu den jeweils letzten Pre-Patch-Builds sind auf PA-Series- und VM-Series-Firewalls verwundbar. Konsultieren Sie das PAN-SA CVE-2026-0300 Advisory für den exakten gepatchten Build pro Branch. Prisma Access, Cloud NGFW und Panorama sind nicht betroffen.
Was kann ich tun, wenn ich nicht sofort patchen kann?
Wenden Sie den Hersteller-Workaround an: Beschränken Sie den Zugriff auf das User-ID Authentication Portal auf vertrauenswürdige Zonen oder deaktivieren Sie das User-ID Authentication Portal, falls nicht benötigt. Beide Maßnahmen entfernen den unauthentifizierten erreichbaren Pfad. Der Workaround ist temporär; der Patch sollte sobald als möglich im operativen Wartungsfenster eingespielt werden.
Wie prüfe ich, ob meine Firewall vor dem Patch kompromittiert wurde?
Sichten Sie PAN-OS-System-Logs und vorhandene Packet-Captures ab mindestens 1. April 2026 auf ungewöhnlichen oder malformten Traffic zum User-ID Authentication Portal Service. Auditieren Sie Configuration-Change-Logs auf unerwartete Modifikationen an Administrator-Konten, VPN-Einstellungen und Zertifikatsspeichern. Wo die Exposition signifikant und ungepatcht war, rotieren Sie IPsec-Pre-Shared-Keys, SSL-VPN-Zertifikate und Administrator-Credentials, und erwägen Sie ein Re-Imaging des Geräts von einem als sauber bekannten Firmware-Build.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.