Vulnérabilités
CVE-2024-3400 — PAN-OS : vulnérabilité d'injection de commandes OS due à la création arbitraire de fichiers dans GlobalProtect
CVE-2024-3400 · PAN-OS · CVSS 10 · KEV
En bref
- Sévérité · CVSS
- Critique10CVSS 3.1, Critique
- EPSS
- 100 %
- CISA KEV
- Exploitée activement, inscrite depuis le 12 avr. 2024
- CERT-FR
- Aucun avis ni alerte référencé dans le catalogue
- Éditeur
- Palo Alto Networks
- Produits
- PAN-OS
- Publication · Modification
- ·
- Dernière vérification
Résumé
Une injection de commandes résultant d'une vulnérabilité de création arbitraire de fichiers dans la fonctionnalité GlobalProtect du logiciel Palo Alto Networks PAN-OS pour des versions spécifiques de PAN-OS et des configurations distinctes de fonctionnalités pourrait permettre à un attaquant non authentifié d'exécuter du code arbitraire avec des privilèges root sur le pare-feu. Cloud NGFW, les appliances Panorama et Prisma Access ne sont pas impactés par cette vulnérabilité.
Faiblesse : CWE-77, CWE-20
Le titre, la description et les consignes de l’éditeur sont traduits automatiquement par intelligence artificielle (Mistral AI) depuis la fiche CVE en anglais ; un texte dont la traduction n’a pas passé les contrôles de Patcharo reste en anglais. L’avis d’un éditeur est résumé, avec un lien. Identifiants, versions et liens sont repris à l’identique.
Versions affectées et corrigées
Par produit et par branche, telles que les déclarent l’enregistrement CVE et l’avis officiel de l’éditeur. Une version corrigée n’est affichée que si un document la nomme : celui de l’éditeur, ou celui du CERT-FR pour Check Point, avec sa source.
3 branches avec une version corrigée publiée
Palo Alto Networks PAN-OS
Source : CVE-2024-3400
- 11.1Fin de support procheVersions affectées>= 11.1.0, < 11.1.2-h3Première version corrigée11.1.2-h3
- 11.0Fin de vieVersions affectées>= 11.0.0, < 11.0.4-h1Première version corrigée11.0.4-h1
- 10.2Fin de vieVersions affectées>= 10.2.0, < 10.2.9-h1Première version corrigée10.2.9-h1
- 10.1Fin de vieVersions affectéesNon affectéePremière version corrigée—
- 10.0Fin de vieVersions affectéesNon affectéePremière version corrigée—
- 9.1Fin de vieVersions affectéesNon affectéePremière version corrigée—
- 9.0Fin de vieVersions affectéesNon affectéePremière version corrigée—
Les versions que l’éditeur ne liste pas ne sont pas affectées.
Remédiation
Correctif disponible
Correctif de l’éditeur
- PAN-OS 11.111.1.2-h3
- PAN-OS 11.011.0.4-h1
- PAN-OS 10.210.2.9-h1
Mettre à niveau vers une version corrigée indiquée ci-dessus pour votre branche, ou vers une version corrigée ultérieure explicitement prise en charge par l’éditeur.
We strongly advise customers to immediately upgrade to a fixed version of PAN-OS to protect their devices even when workarounds and mitigations have been applied. This issue is fixed in PAN-OS 10.2.9-h1, PAN-OS 11.0.4-h1, PAN-OS 11.1.2-h3, and in all later PAN-OS versions. Customers who upgrade to these versions will be fully protected.
Mesure d’atténuation (éditeur)
Mesure d'atténuation recommandée : Les clients disposant d'un abonnement Threat Prevention peuvent bloquer les attaques exploitant cette vulnérabilité à l'aide des identifiants de menace 95187, 95189 et 95191 (disponibles dans le contenu Applications and Threats version 8836-8695 et ultérieure).
Texte complet
Veuillez surveiller cet avis ainsi que les mises à jour du contenu Threat Prevention pour d'éventuels identifiants de menace supplémentaires concernant CVE-2024-3400. Pour appliquer les identifiants de menace, les clients doivent s'assurer que la protection contre les vulnérabilités a été appliquée à leur interface GlobalProtect afin d'empêcher l'exploitation de ce problème sur leur appareil. Veuillez consulter https://live.paloaltonetworks.com/t5/globalprotect-articles/applying-vulnerability-protection-to-globalprotect-interfaces/ta-p/340184 pour plus d'informations.
Action requise par CISA KEV
Appliquer les mesures d'atténuation conformément aux instructions de l'éditeur dès qu'elles sont disponibles. Sinon, les utilisateurs disposant de versions vulnérables des appareils concernés doivent activer les identifiants de prévention des menaces disponibles auprès de l'éditeur. Consulter le bulletin de l'éditeur pour plus de détails et un calendrier de publication des correctifs.
Échéance CISA :
SourceCISA KEV
Dernière vérification le 1 oct. 2026 à 13:37 UTC
Exploitation connue
Ajoutée au catalogue CISA KEV le 12 avr. 2024
Date limite de remédiation fédérale : 19 avr. 2024
Utilisation connue par des rançongiciels
L’action requise par la CISA figure dans la section Remédiation.
Probabilité d’exploitation de 100 % dans les 30 prochains jours (percentile 100 %).
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
CERT-FR
Aucun avis ni alerte du CERT-FR des deux dernières années ne mentionne cette CVE, pour les éditeurs couverts par Patcharo.
Chronologie
- Ajout au catalogue CISA KEV
- Publication par la source
- Échéance de remédiation CISA
- Dernière modification de la fiche source
- Calcul du score EPSS
- Dernière vérification par Patcharo
Sources officielles
- Palo Alto Networks (CVE record)relevé le 1 oct. 2026 à 13:37 UTC
- CISA Known Exploited Vulnerabilitiesrelevé le 1 oct. 2026 à 13:37 UTC
- NVDrelevé le 27 sept. 2026 à 23:44 UTC
- FIRST EPSSrelevé le 27 sept. 2026 à 23:46 UTC
Références
- https://unit42.paloaltonetworks.com/cve-2024-3400/
- https://www.volexity.com/blog/2024/04/12/zero-day-exploitation-of-unauthenticated-remote-code-execution-vulnerability-in-globalprotect-cve-2024-3400/
- https://www.paloaltonetworks.com/blog/2024/04/more-on-the-pan-os-cve/
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2024-3400
Palo Alto Networks · CISA Known Exploited Vulnerabilities · NVD · FIRST EPSS
Comment Patcharo lit ces données
Les versions affectées et corrigées viennent des déclarations structurées de l’éditeur et sont comparées aux versions exactes ; le CVSS vient de NVD, l’exploitation de CISA KEV et de l’avis de l’éditeur, la probabilité de FIRST EPSS. Une donnée manquante reste Inconnu et ne devient jamais Non affecté.
Lire la méthodologieLire le guide : Comprendre les versions PAN-OS : lignes de version, versions de maintenance et suffixes -h1, -h2, -h3
Vulnérabilités liées
Autres fiches affectant les mêmes produits, les plus récentes d’abord.
- CVE-2026-0301PAN-OS : vulnérabilité de divulgation d'informations dans le filtrage d'URLÉlevée
- CVE-2026-0280PAN-OS : contournement de la stratégie de pare-feu IPv6Élevée
- CVE-2026-0281PAN-OS : vulnérabilité de divulgation d'informations dans l'interface Web de gestionÉlevée
- CVE-2026-0283PAN-OS : vulnérabilité de contournement de l'authentification dans Large Scale VPN (LSVPN)Élevée
- CVE-2026-0284PAN-OS : vulnérabilité d'injection XML dans Large Scale VPN (LSVPN)Critique
Certains titres de cette liste sont traduits automatiquement par intelligence artificielle (Mistral AI) à partir des textes sources ; chaque fiche indique le texte d’origine.
Toutes les vulnérabilités PAN-OSToutes les vulnérabilités Palo Alto Networks