Palo Alto Networksは、PA-Seriesハードウェアファイアウォールに影響する深刻度「高」のPAN-OSバッファオーバーフロー脆弱性を発表しました。この脆弱性を悪用すれば、認証を経ていないネットワーク経由の攻撃者が、影響を受ける機器上でroot権限による任意のコードを実行できるおそれがあります。
この脆弱性はCVE-2026-0310として追跡されており、PAN-OSのXML処理に起因します。ファイアウォールの管理用Webインターフェースとデータプレーンインターフェースの両方に影響します。
2026年9月9日に公開されたアドバイザリでは、CVSS v4.0基本値が9.2、CVSS-BTスコアが7.2と評価されています。Palo Alto Networksは推奨される対応の緊急度を「最高」に分類しています。
Palo Alto PAN-OSのバッファオーバーフロー
CVE-2026-0310はCWE-787に分類されており、これは境界外書き込み(out-of-bounds write)の脆弱性を指します。この問題は安全でないXML処理に起因してバッファオーバーフローを引き起こすもので、リモートの攻撃者は認証、特別な権限、ユーザー操作、特定の設定のいずれも必要とせずにこれを引き起こせます。
PA-Series製品上でこの脆弱性が悪用された場合、root権限による任意のコード実行が可能になるおそれがあります。境界防御を担うファイアウォールへのroot権限アクセスを許してしまうことは重大なリスクです。侵入者はセキュリティポリシーの変更、防御機能の無効化、ネットワークトラフィックの傍受や改ざん、永続化の確立、あるいは内部への足がかりとしてこの機器を利用することが可能になります。
ソフトウェアサプライチェーン
この脆弱性は、Palo Alto Networksの製品ごとに異なる影響を及ぼします。
| 製品種別 | 想定される影響 | 深刻度 |
|---|---|---|
| PA-Seriesファイアウォール | rootとしての任意コード実行 | 高 |
| VM-Seriesファイアウォール | サービス拒否(DoS)状態 | 中 |
| Prisma AccessおよびCloud NGFW | 露出範囲は限定的、認証済みアクセスが必要 | 中 |
Palo Alto Networksによると、コード実行につながる可能性があることから、リスクが最も高いのはPA-Seriesハードウェアファイアウォールだとしています。一方、VM-Seriesファイアウォールへの影響はサービス拒否にとどまりますが、深刻度は低いとはいえ、重要な業務接続や検査機能を妨げる可能性は残ります。
影響を受けるPAN-OSリリース
この脆弱性は、特定の修正版がリリースされる前のPAN-OSバージョン10.2、11.1、11.2、12.1、12.2に影響します。PAN-OS 12.2を利用しているユーザーは、バージョン12.2.3以降へのアップグレードが必要です。
PAN-OS 12.1を利用している組織は、サポート対象のメンテナンストレインに応じて、12.1.4-h10、12.1.7-h5、または12.1.10のいずれかへアップグレードする必要があります。PAN-OSの11.2系、11.1系、10.2系についても修正版が提供されており、それぞれ11.2.13-h2、11.1.16-h2、10.2.18-h10となっています。
サポートが終了したPAN-OSリリースは脆弱性の影響を受け続けるため、ユーザーはサポート対象の修正済みバージョンへの移行が推奨されます。Palo Alto Networksによれば、機器が脆弱な状態になるために特別な設定は必要ないとのことです。
現時点で回避策は存在しないため、ソフトウェアの更新が主な対策となります。管理者は、インターネットに公開されているPA-Seriesファイアウォールへのパッチ適用を優先し、管理インターフェースが信頼されていないネットワークからアクセス可能な状態になっていないことを確認する必要があります。
Palo Alto Networksは、管理アクセスを信頼できる内部IPアドレスに限定することを推奨しています。理想的には、専用のジャンプボックスのみが管理インターフェースへのアクセスを許可されるようにすることで、アップグレードが完了するまでの間、攻撃対象領域を縮小できます。
セキュリティチームには、管理アクセスルール、HTTPSおよび管理サービスの露出状況、直近の設定変更、予期しないファイアウォールの再起動、XML関連リクエストの異常な挙動を確認することが推奨されます。
Palo Alto Networksは現時点で悪意ある悪用は確認していないとしていますが、認証不要でのアクセスとroot権限でのコード実行の可能性が組み合わさっていることから、迅速なパッチ適用が不可欠であることに変わりはありません。
SOCを常に最新の状態に保ち、出現から24時間以内にアクティブなマルウェアやフィッシングを把握しましょう。 ANYRUNを試して早期検知でインシデントを防ぎましょう。
翻訳元: https://gbhackers.com/palo-alto-pan-os-buffer-overflow/
