CVE-2024-3400 PAN OS GlobalProtect 命令注入漏洞-讯岚社区

漏洞案例已知被利用 · CISA KEV

CVE-2024-3400

PAN OS GlobalProtect 命令注入漏洞

GlobalProtect 组件存在任意文件创建与命令注入链，未认证攻击者可在防火墙上以 root 权限执行命令。

漏洞概览

CVE 编号: CVE-2024-3400
影响产品: Palo Alto Networks PAN-OS GlobalProtect
漏洞类型: 远程代码执行
CWE 分类: CWE-77 / CWE-20
CVE 公开日期: 2024-04-12
CVE 记录更新日期: 2025-10-21
资料核验日期: 2026-09-18
区域标签: 全球（网络安全设备）

安全风险等级评估

10.0

严重 · CVSS 3.1评分来源：palo_alto / CVE 记录

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

影响范围与修复版本

产品或分支	受影响范围	历史修复边界或说明
PAN-OS 10.2	CNA 范围：≥10.2.0 且 <10.2.9-h1	10.2.9-h1（其他维护补丁见厂商矩阵）
PAN-OS 11.0	≥11.0.0 且 <11.0.4-h1	11.0.4-h1
PAN-OS 11.1	≥11.1.0 且 <11.1.2-h3	11.1.2-h3

漏洞详情

漏洞机制

PAN-OS GlobalProtect 的任意文件创建问题可进一步形成命令注入，未认证攻击者在适用条件下可能以 root 权限执行代码。漏洞涉及特定 PAN-OS 版本和功能配置，不能泛化为所有 Palo Alto 产品。

触发条件与权限边界

官方记录明确 Cloud NGFW、Panorama 和 Prisma Access 不受此漏洞影响。GlobalProtect 配置及临时防护条件需以当前厂商公告为准，不能沿用已经变更的早期配置假设。

场景与影响

边界防火墙一旦被控制，攻击者可能读取配置、篡改安全策略、横向进入内网并持久化。CISA 已将该漏洞列入已知被利用目录。

检测与排查

资产、配置与日志核查

核对 PAN-OS 完整构建号、GlobalProtect 门户/网关及厂商缓解条件，检查异常文件、系统任务、命令和外连；升级与已入侵设备恢复应分别验证。

防范措施与修复验证

修复与缓解

按 Palo Alto 公告升级或启用临时缓解和 Threat Prevention ID；限制管理面和 GlobalProtect 暴露；检查设备日志、计划任务、配置差异和出站连接。

修复后的验证

完成变更后，回读 Palo Alto Networks PAN-OS GlobalProtect 的实际运行版本、补丁与配置，确认已落在厂商修复范围；需要重启的服务或系统必须验证重启结果。再检查相关业务功能、访问控制与日志，记录修复前后证据。临时缓解应单独标注，并跟踪正式修复；没有触发异常不等于漏洞不存在。

参考来源

CVE 官方记录CNA 描述、版本与评分依据 产品公告与技术资料security.paloaltonetworks.com NVD 漏洞条目补充分析与参考链接 CISA KEV 目录已知现实利用状态

英文技术描述已整理为中文，保留产品名、协议名和版本号。CVE 记录与 KEV 核验日期：2026-09-18；KEV 目录版本：2026.09.16。厂商公告可能继续更新，处置时应核对最新产品矩阵。

文章版权归原作者所有，内容仅用于合法合规的学习、研究与安全防护，未经允许请勿转载。

THE END

漏洞案例