Tóm tắt nhanh
- CVE-2026-0329 là lỗi ghi vượt phạm vi bộ đệm trong PAN-OS, có thể gây từ chối dịch vụ.
- Ảnh hưởng phụ thuộc vào cấu hình IKE Gateway hoặc DNS Proxy; hãng chưa nhận thấy khai thác độc hại.
- Kiểm tra phiên bản và nâng cấp lên bản sửa phù hợp; có các biện pháp giảm thiểu do hãng nêu.
Palo Alto PAN-OS: xử lý CVE-2026-0329 gây nguy cơ gián đoạn dịch vụ
Palo Alto Networks cảnh báo CVE-2026-0329 trong PAN-OS: lỗi ghi vượt phạm vi bộ đệm có thể khiến kẻ tấn công từ xa gây từ chối dịch vụ khi cấu hình đáp ứng điều kiện nhất định. Hãy kiểm tra phiên bản, cấu hình phơi nhiễm và nâng cấp lên bản đã vá phù hợp.
Nội dung bài viết
Palo Alto Networks cảnh báo CVE-2026-0329 trong PAN-OS, hệ điều hành chạy trên các thiết bị tường lửa của hãng. Dưới đây là điều kiện ảnh hưởng, các phiên bản cần xử lý và hành động được Palo Alto Networks nêu trong advisory chính thức.
Tổng quan và thông tin kỹ thuật
Lỗi ghi dữ liệu vượt phạm vi bộ đệm có thể cho phép kẻ tấn công chưa xác thực, có quyền truy cập mạng, gửi lưu lượng được tạo đặc biệt đến hoặc đi qua giao diện dataplane để gây từ chối dịch vụ. Palo Alto Networks xếp mức độ MEDIUM, urgency MODERATE.
| Thông tin | Chi tiết |
|---|---|
| Sản phẩm | PAN-OS |
| Mã lỗi | CVE-2026-0329; CWE-787 (Out-of-bounds Write); CAPEC-100 (Overflow Buffers) |
| CVSS | CVSS-BT 4.6; CVSS-B 8.2 |
| Trưởng thành khai thác | UNREPORTED |
Phạm vi ảnh hưởng
Điều kiện ảnh hưởng gồm IKE Gateway đang hoạt động dùng xác thực bằng chứng chỉ và bật kiểm tra thu hồi CRL hoặc OCSP, hoặc có DNS Proxy object được cấu hình và bật. Với các nhánh PAN-OS dưới đây, nâng cấp lên bản sửa tương ứng hoặc bản mới hơn trong nhánh.
| Sản phẩm/nhánh | Phiên bản ảnh hưởng | Bản sửa |
|---|---|---|
| PAN-OS 12.2 | < 12.2.4-h2 | 12.2.4-h2 hoặc mới hơn |
| PAN-OS 12.1 | < 12.1.4-h14, < 12.1.7-h12 hoặc < 12.1.10-h4 | Lần lượt 12.1.4-h14, 12.1.7-h12 hoặc 12.1.10-h4, hoặc mới hơn |
| PAN-OS 11.2 | < 11.2.4-h24, < 11.2.7-h24, < 11.2.10-h18, < 11.2.13-h5 hoặc < 11.2.16-h2 | Bản sửa tương ứng theo nhánh hoặc 11.2.16-h2 trở lên |
| PAN-OS 11.1 | < 11.1.4-h39, < 11.1.6-h41, < 11.1.7-h13, < 11.1.10-h37, < 11.1.13-h17 hoặc < 11.1.16-h5 | Bản sửa tương ứng theo nhánh hoặc 11.1.16-h5 trở lên |
| PAN-OS 10.2 | < 10.2.7-h40, < 10.2.10-h43, < 10.2.13-h28, < 10.2.16-h13 hoặc < 10.2.18-h14 | Bản sửa tương ứng theo nhánh hoặc 10.2.18-h14 trở lên |
| PAN-OS cũ không còn được hỗ trợ | Các phiên bản cũ không còn được hỗ trợ | Nâng cấp lên phiên bản được hỗ trợ đã vá |
| Prisma Access 12.1 | 12.1.2 đến 12.1.10-h* | 12.1.10-h4 hoặc mới hơn |
| Prisma Access 11.2 | 11.2.0 đến 11.2.7-h* | 11.2.7-h24 hoặc mới hơn |
| Prisma Access 10.2 | 10.2.0 đến 10.2.10-h* | 10.2.10-h43 hoặc mới hơn |
Cloud NGFW và Panorama không bị ảnh hưởng. Các phiên bản PAN-OS từ bản sửa tương ứng trở lên và Prisma Access từ bản sửa tương ứng trở lên được xếp là không bị ảnh hưởng.
Tình trạng khai thác
Palo Alto Networks cho biết chưa nhận thấy khai thác độc hại đối với lỗi này. Exploit Maturity được ghi là UNREPORTED.
Kiểm tra hệ thống
Kiểm tra phiên bản PAN-OS đang chạy trên thiết bị bằng lệnh sau:
show system infoĐối chiếu phiên bản hiển thị với nhánh và bản sửa trong bảng phạm vi ảnh hưởng. Phiên bản thấp hơn ngưỡng sửa cần được nâng cấp.
Khắc phục và giảm thiểu
Nâng cấp PAN-OS hoặc Prisma Access lên phiên bản đã vá phù hợp với nhánh đang sử dụng.
Với Prisma Access, Palo Alto Networks cho biết sẽ nâng cấp khách hàng trong chu kỳ bảo trì kế tiếp. Khách hàng cần nâng cấp sớm hơn có thể liên hệ Support hoặc đội ngũ phụ trách để yêu cầu lên lịch riêng.
Với thuê bao Threat Prevention, có thể bật Threat ID
510051và510052từ Applications and Threats content version9171-10349trở lên. Biện pháp này cần SSL Decryption; bật Threat Prevention cho lưu lượng đến dịch vụ quản trị; giải mã lưu lượng đến giao diện quản trị; thay Certificate for Inbound Traffic Management; và định tuyến lưu lượng vào cổng MGT qua cổng DP, ví dụ bật management profile trên giao diện DP.Biện pháp giảm thiểu khác là tắt Use CRL và Use OCSP trong Certificate Profile gắn với IKE Gateway đang hoạt động, hoặc tắt các DNS Proxy object đã cấu hình. Nhấn OK và Commit các thay đổi.
Bài viết liên quan
Lỗ hổng CVE-2026-123039 trên Check Point bị khai thác: ưu tiên khắc phục trước 16/11
CISA đưa CVE-2026-123039 vào KEV sau khi xác nhận lỗ hổng phân quyền trên nhiều sản phẩm Check Point chạy Gaia OS đang bị khai thác thực tế. Người dùng cục bộ đã xác thực có thể khiến lệnh chạy với quyền root; cần đánh giá phơi nhiễm, triage forensics và xử lý theo hướng dẫn CISA trước hạn KEV…
Palo Alto PAN-OS: vá CVE-2026-0325 vượt qua giới hạn địa chỉ IP
Palo Alto Networks cảnh báo CVE-2026-0325 trong GlobalProtect gateway của PAN-OS: người có thông tin đăng nhập hợp lệ có thể vượt qua giới hạn IP và kiểm soát truy cập dựa trên IP nguồn. Kiểm tra cấu hình gateway và nâng cấp lên phiên bản đã vá tương ứng.
FortiOS SSLVPN có lỗ hổng xác thực chứng chỉ: kiểm tra và nâng cấp
Fortinet xác nhận lỗ hổng xác thực chứng chỉ trong FortiOS SSLVPN, CVE-2026-121528, có thể cho phép kẻ tấn công từ xa chưa xác thực thực hiện Man-in-the-Middle. Quản trị viên cần kiểm tra nhánh phiên bản và nâng cấp lên bản đã sửa lỗi.
Fortinet cảnh báo CVE-2026-126254 trong FortiOS và FortiSASE, cần nâng cấp
Fortinet cảnh báo CVE-2026-126254 trong daemon BGP của FortiOS và FortiSASE, có thể gây từ chối dịch vụ; lỗi có CVSSv3 9.6 và yêu cầu iBGP neighbor đã cấu hình. Quản trị viên cần kiểm tra phiên bản, nâng cấp FortiOS hoặc di chuyển các nhánh FortiSASE bị ảnh hưởng.