PAN-OS 高危缓冲溢出漏洞可导致任意代码执行

Do Son
Do Son

代码卫士

2026年7月10日 15:40
北京

在小说阅读器读本章

去阅读

  聚焦源代码安全，网罗国内外最新资讯！

编译：代码卫士

Palo Alto Networks公司披露了一个PAN-OS缓冲区溢出漏洞（CVE-2026-0288，CVSS评分7.2）。该漏洞位于User-ID终端服务器代理中。网络上的未认证攻击者可利用该漏洞导致防火墙崩溃或执行代码。该公司称尚未发现已知的利用行为。

PAN-OS防火墙守护着众多企业网络的边界。因此，允许任意代码执行的漏洞尤为严重。该漏洞无需登录，也无需用户交互。值得注意的是，另一个相关的PAN-OS漏洞CVE-2026-0300已遭在野利用，并于2026年5月被列入CISA的KEV目录。这一前车之鉴提高了快速修补的紧迫性，尽管该漏洞目前尚无被利用的迹象。

攻击方式

该漏洞源于终端服务器代理中的一组缓冲区溢出。攻击者向TSA服务发送特殊构造的网络流量，这些输入会溢出缓冲区，导致拒绝服务，或可能实现任意代码执行。只有配置了至少一个TSA条目的设备才受影响。管理员可以在“设备 > 用户识别 > 终端服务器代理”下进行确认。

受影响版本

该漏洞影响PAN-OS 12.1、11.2、11.1和10.2的特定修复版本之前的版本。Cloud NGFW和Panorama不受影响。Prisma Access有两个分支被评为中等严重性。

补丁与缓解措施

用户应更新到已修复的版本，如12.1.8、11.2.13、11.1.16或10.2.18-h8。用户需在Palo Alto的安全公告中确认所用分支的确切修复版本。在完成修补之前，应将TSA连接限制为受信任的内部IP地址。仅此一步即可大幅降低该PAN-OS缓冲区溢出漏洞带来的风险。

开源卫士试用地址：https://oss.qianxin.com/#/login

代码卫士试用地址：https://sast.qianxin.com/#/login

推荐阅读

PAN-OS GlobalProtect 认证绕过漏洞已遭活跃利用

Palo Alto 提醒注意严重的 PAN-OS RCE漏洞

Palo Alto Networks 修复PAN-OS 中的认证绕过漏洞

Palo Alto Networks：注意潜在的 PAN-OS RCE漏洞

原文链接

https://securityonline.info/pan-os-cve-2026-0288/

题图：Pixabay License

本文由奇安信编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。

奇安信代码卫士 (codesafe)

国内首个专注于软件开发安全的产品线。

 觉得不错，就点个 “在看” 或 \"赞” 吧~