Aller au contenu
Patcharo
Retour aux résultats

Vulnérabilités

ÉlevéeKEV

CVE-2024-3393 — PAN-OS : déni de service (DoS) du pare-feu dans DNS Security avec un paquet spécialement conçu

CVE-2024-3393 · PAN-OS · CVSS 7.5 · KEV

En bref

Sévérité · CVSS
Élevée7,5CVSS 3.1, Élevée
EPSS
28 %
CISA KEV
Exploitée activement, inscrite depuis le 30 déc. 2024
Produits
PAN-OS
Publication · Modification
·
Dernière vérification

Résumé

Une vulnérabilité de déni de service (DoS) dans la fonctionnalité DNS Security du logiciel Palo Alto Networks PAN-OS permet à un attaquant non authentifié d'envoyer un paquet malveillant via le plan de données du pare-feu, ce qui redémarre le pare-feu. Des tentatives répétées pour déclencher cette condition feront entrer le pare-feu en mode maintenance.

Faiblesse : CWE-754

Le titre, la description et les consignes de l’éditeur sont traduits automatiquement par intelligence artificielle (Mistral AI) depuis la fiche CVE en anglais ; un texte dont la traduction n’a pas passé les contrôles de Patcharo reste en anglais. L’avis d’un éditeur est résumé, avec un lien. Identifiants, versions et liens sont repris à l’identique.

Versions affectées et corrigées

Par produit et par branche, telles que les déclarent l’enregistrement CVE et l’avis officiel de l’éditeur. Une version corrigée n’est affichée que si un document la nomme : celui de l’éditeur, ou celui du CERT-FR pour Check Point, avec sa source.

4 branches avec une version corrigée publiée

Palo Alto Networks PAN-OS

Source : CVE-2024-3393

  1. 11.2Fin de support proche
    Versions affectées>= 11.2.0, < 11.2.3
    Première version corrigée11.2.3
  2. 11.1Fin de support proche
    Versions affectées>= 11.1.0, < 11.1.2-h16>= 11.1.3, < 11.1.3-h13>= 11.1.4, < 11.1.4-h7
    Première version corrigée11.1.2-h1611.1.3-h1311.1.4-h711.1.5
  3. 10.2Fin de vie
    Versions affectées>= 10.2.8, < 10.2.8-h19>= 10.2.9, < 10.2.9-h19>= 10.2.10, < 10.2.10-h12>= 10.2.11, < 10.2.11-h10>= 10.2.12, < 10.2.12-h4>= 10.2.13, < 10.2.13-h2>= 10.2.8, < 10.2.9-h19
    Première version corrigée10.2.9-h1910.2.10-h1210.2.11-h1010.2.12-h410.2.13-h210.2.14
  4. 10.1Fin de vie
    Versions affectées>= 10.1.14, < 10.1.14-h8
    Première version corrigée10.1.14-h810.1.15

Les versions que l’éditeur ne liste pas ne sont pas affectées.

Remédiation

Correctif disponible

Correctif de l’éditeur

  • PAN-OS 11.211.2.3
  • PAN-OS 11.111.1.2-h16, 11.1.3-h13, 11.1.4-h7, 11.1.5
  • PAN-OS 10.210.2.9-h19, 10.2.10-h12, 10.2.11-h10, 10.2.12-h4, 10.2.13-h2, 10.2.14
  • PAN-OS 10.110.1.14-h8, 10.1.15

Mettre à niveau vers une version corrigée indiquée ci-dessus pour votre branche, ou vers une version corrigée ultérieure explicitement prise en charge par l’éditeur.

Ce problème est corrigé dans PAN-OS 10.1.14-h8, PAN-OS 10.2.10-h12, PAN-OS 11.1.5, PAN-OS 11.2.3 et toutes les versions ultérieures de PAN-OS. Remarque : PAN-OS 11.0 a atteint la fin de vie (EOL) le 17 novembre 2024, nous ne prévoyons donc pas de fournir de correctif pour cette version.

Texte complet

Les clients Prisma Access utilisant DNS Security avec les versions PAN-OS concernées doivent appliquer l'une des mesures de contournement fournies ci-dessous. Nous effectuerons les mises à niveau en deux phases pour les clients impactés les week-ends des 3 et 10 janvier. Vous pouvez demander une mise à niveau accélérée de Prisma Access vers la dernière version de PAN-OS en ouvrant un dossier de support à l'adresse https://support.paloaltonetworks.com/Support/Index. De plus, pour offrir le chemin de mise à niveau le plus fluide à nos clients, nous mettons des correctifs à disposition pour d'autres versions de maintenance préférées par le TAC et couramment déployées. Correctifs supplémentaires pour PAN-OS 11.1 : * 11.1.2-h16 * 11.1.3-h13 * 11.1.4-h7 * 11.1.5 Addit…

SourcePalo Alto Networks (CVE record)

Mesure d’atténuation (éditeur)

Si votre pare-feu exécutant les versions vulnérables de PAN-OS cesse de répondre ou redémarre de manière inattendue et que vous ne pouvez pas appliquer immédiatement un correctif, appliquez une mesure de contournement ci-dessous en fonction de votre déploiement.

Texte complet

Pare-feu NGFW non gérés, NGFW gérés par Panorama ou Prisma Access gérés par Panorama * Pour chaque profil Anti-spyware, accédez à Objects → Security Profiles → Anti-spyware → (sélectionnez un profil) → DNS Policies → DNS Security. * Modifiez la Log Severity en « none » pour toutes les catégories DNS Security configurées. * Validez les modifications. N'oubliez pas de rétablir les paramètres de Log Severity une fois les correctifs appliqués. NGFW gérés par Strata Cloud Manager (SCM) Vous pouvez choisir l'une des options de mesure d'atténuation suivantes : * Option 1 : Désactivez la journalisation DNS Security directement sur chaque NGFW en suivant les étapes PAN-OS ci-dessus. * Option 2 : Désactivez la journalisation DNS Security sur tous les NGFW de votre locataire en ouvrant un ticket de support https://support.pa…

SourcePalo Alto Networks (CVE record)

Action requise par CISA KEV

Appliquer les mesures d'atténuation conformément aux instructions de l'éditeur ou cesser l'utilisation du produit si les mesures d'atténuation ne sont pas disponibles.

Échéance CISA :

SourceCISA KEV

Recommandation du CERT-FR

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

SourceCERTFR-2024-AVI-1107

Dernière vérification le 1 oct. 2026 à 13:37 UTC

Exploitation connue

Ajoutée au catalogue CISA KEV le 30 déc. 2024

Date limite de remédiation fédérale : 20 janv. 2025

L’action requise par la CISA figure dans la section Remédiation.

Probabilité d’exploitation de 28 % dans les 30 prochains jours (percentile 98 %).

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

CERT-FR

1 document du CERT-FR (ANSSI) mentionne cette CVE.

Avis (AVI)CERTFR-2024-AVI-1107Publié le 27 déc. 2024

Vulnérabilité dans les produits Palo Alto Networks

Déni de service à distance

Résumé

Une vulnérabilité a été découverte dans les produits Palo Alto Networks. Elle permet à un attaquant de provoquer un déni de service à distance. Palo Alto Networks indique que la vulnérabilité CVE-2024-3393 est activement exploitée.

Recommandation

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Document officiel sur cert.ssi.gouv.frlu par Patcharo le 28 sept. 2026 à 20:04 UTC

Chronologie

  1. Publication par la source
  2. Ajout au catalogue CISA KEV
  3. Échéance de remédiation CISA
  4. Dernière modification de la fiche source
  5. Calcul du score EPSS
  6. Dernière vérification par Patcharo

Sources officielles

Avis éditeur

Références

Palo Alto Networks · CISA Known Exploited Vulnerabilities · NVD · FIRST EPSS

Comment Patcharo lit ces données

Les versions affectées et corrigées viennent des déclarations structurées de l’éditeur et sont comparées aux versions exactes ; le CVSS vient de NVD, l’exploitation de CISA KEV et de l’avis de l’éditeur, la probabilité de FIRST EPSS. Une donnée manquante reste Inconnu et ne devient jamais Non affecté.

Lire la méthodologieLire le guide : Comprendre les versions PAN-OS : lignes de version, versions de maintenance et suffixes -h1, -h2, -h3

Vulnérabilités liées

Autres fiches affectant les mêmes produits, les plus récentes d’abord.

  • CVE-2026-0301PAN-OS : vulnérabilité de divulgation d'informations dans le filtrage d'URLÉlevée
  • CVE-2026-0280PAN-OS : contournement de la stratégie de pare-feu IPv6Élevée
  • CVE-2026-0281PAN-OS : vulnérabilité de divulgation d'informations dans l'interface Web de gestionÉlevée
  • CVE-2026-0283PAN-OS : vulnérabilité de contournement de l'authentification dans Large Scale VPN (LSVPN)Élevée
  • CVE-2026-0284PAN-OS : vulnérabilité d'injection XML dans Large Scale VPN (LSVPN)Critique

Certains titres de cette liste sont traduits automatiquement par intelligence artificielle (Mistral AI) à partir des textes sources ; chaque fiche indique le texte d’origine.

Toutes les vulnérabilités PAN-OSToutes les vulnérabilités Palo Alto Networks