Aktywnie wykorzystywana w atakach
Palo Alto Networks PAN-OS Authentication Bypass Vulnerability
Palo Alto Networks - PAN-OS · Figuruje w katalogu CISA KEV od 2025-02-18. Oznacza to potwierdzone ataki w środowisku produkcyjnym.
Wymagane działanie: Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.
CVE-2025-0108
KrytyczneCVSS 9.1KEVStreszczenie
Obejście uwierzytelniania w oprogramowaniu Palo Alto Networks PAN-OS umożliwia nieuwierzytelnionemu atakującemu z dostępem sieciowym do interfejsu zarządzania obejście wymaganego uwierzytelnienia i wywołanie niektórych skryptów PHP. Nie prowadzi to do zdalnego wykonania kodu, ale może negatywnie wpłynąć na integralność i poufność systemu PAN-OS.
Ocena ryzyka
Atakujący może uzyskać dostęp do interfejsu zarządzania bez uwierzytelnienia, co może prowadzić do nieautoryzowanych zmian konfiguracji lub wycieku informacji. Ryzyko można znacznie zmniejszyć, ograniczając dostęp do interfejsu zarządzania tylko do zaufanych adresów IP.
Rekomendacja
Należy ograniczyć dostęp do interfejsu zarządzania PAN-OS wyłącznie do zaufanych wewnętrznych adresów IP zgodnie z najlepszymi praktykami Palo Alto Networks. Zaleca się również zastosowanie najnowszych aktualizacji bezpieczeństwa.
Inne podatności w PAN-OS
Zobacz wszystkie- CVE-2026-0258Krytyczne
Podatność SSRF w implementacji IKEv2 w oprogramowaniu PAN-OS firmy Palo Alto Networks umożliwia nieuwierzytelnionemu atakującemu wysyłanie żądań sieciowych z firewalla do nieprzeznaczonych miejsc lub spowodowanie warunku DoS.
- CVE-2026-0264Krytyczne
Podatność przepełnienia bufora w funkcjach DNS proxy i DNS Server w oprogramowaniu PAN-OS firmy Palo Alto Networks umożliwia nieuwierzytelnionemu atakującemu z dostępem sieciowym spowodowanie warunku odmowy usługi (DoS) na wszystkich platformach PAN-OS z wyjątkiem Cloud NGFW i Prisma Access, a na sprzęcie PA-Series potencjalnie wykonanie dowolnego kodu poprzez wysłanie specjalnie spreparowanego ruchu sieciowego.
- CVE-2026-0263Krytyczne
Podatność przepełnienia bufora w przetwarzaniu IKEv2 w oprogramowaniu PAN-OS firmy Palo Alto Networks umożliwia nieuwierzytelnionemu atakującemu sieciowo wykonanie dowolnego kodu z podwyższonymi uprawnieniami na zaporze ogniowej lub spowodowanie warunku odmowy usługi (DoS).
- CVE-2024-9474WysokieAktywnie exploitowane
Podatność na podniesienie uprawnień w oprogramowaniu PAN-OS firmy Palo Alto Networks umożliwia administratorowi PAN-OS z dostępem do interfejsu zarządzania przez przeglądarkę wykonywanie działań na zaporze z uprawnieniami roota. Cloud NGFW i Prisma Access nie są dotknięte tą podatnością.
- CVE-2024-0012KrytyczneAktywnie exploitowane
Podatność polegająca na obejściu uwierzytelniania w oprogramowaniu PAN-OS firmy Palo Alto Networks umożliwia nieuwierzytelnionemu atakującemu z dostępem sieciowym do interfejsu zarządzania uzyskanie uprawnień administratora PAN-OS. Dotyczy wersji PAN-OS 10.2, 11.0, 11.1 i 11.2. Ryzyko można zmniejszyć poprzez ograniczenie dostępu do interfejsu zarządzania do zaufanych adresów IP.
- CVE-2020-2021KrytyczneAktywnie exploitowane
Podatność w PAN-OS dotyczy nieprawidłowej weryfikacji podpisów w uwierzytelnianiu SAML, gdy opcja 'Validate Identity Provider Certificate' jest wyłączona. Nieuwierzytelniony atakujący z dostępem sieciowym może uzyskać dostęp do chronionych zasobów, a w przypadku interfejsów web PAN-OS/Panorama może zalogować się jako administrator. Dotyczy PAN-OS 9.1 < 9.1.3, 9.0 < 9.0.9, 8.1 < 8.1.15 oraz wszystkich wersji 8.0 (EOL).
- CVE-2019-1579WysokieAktywnie exploitowane
Podatność zdalnego wykonania kodu w PAN-OS z włączonym GlobalProtect Portal lub GlobalProtect Gateway Interface. Nieuwierzytelniony atakujący zdalnie może wykonać dowolny kod.
- CVE-2026-0310Wysokie
Podatność przepełnienia bufora w funkcji przetwarzania XML oprogramowania Palo Alto Networks PAN-OS pozwala nieuwierzytelnionemu atakującemu z dostępem sieciowym do interfejsu zarządzania lub dataplane wywołać warunek odmowy usługi (DoS) na zaporach VM-Series lub wykonać dowolny kod z uprawnieniami root na zaporach PA-Series. Podatność dotyczy również Panorama.
- CVE-2026-0309Średnie
Luka polegająca na wstrzyknięciu poleceń w oprogramowaniu Palo Alto Networks PAN-OS umożliwia uwierzytelnionemu administratorowi obejście ograniczeń systemowych i uruchomienie dowolnych poleceń jako użytkownik root. Aby wykorzystać tę lukę, użytkownik musi mieć dostęp do CLI PAN-OS, a urządzenie musi być skonfigurowane z modułem Luna Hardware Security Module (HSM).
- CVE-2026-0308Niskie
Podatność typu stored cross-site scripting (XSS) w oprogramowaniu Palo Alto Networks PAN-OS pozwala złośliwemu uwierzytelnionemu administratorowi na zapisanie lub wykonanie ładunku JavaScript za pomocą interfejsu webowego. Problem dotyczy firewalli PA-Series i VM-Series oraz Panorama (wirtualnej i M-Series); Cloud NGFW i Prisma Access nie są podatne.
Oryginalny opis (angielski, źródło NVD)
An authentication bypass in the Palo Alto Networks PAN-OS software enables an unauthenticated attacker with network access to the management web interface to bypass the authentication otherwise required by the PAN-OS management web interface and invoke certain PHP scripts. While invoking these PHP scripts does not enable remote code execution, it can negatively impact integrity and confidentiality of PAN-OS. You can greatly reduce the risk of this issue by restricting access to the management web interface to only trusted internal IP addresses according to our recommended best practices deployment guidelines https://live.paloaltonetworks.com/t5/community-blogs/tips-amp-tricks-how-to-secure-the-management-access-of-your-palo/ba-p/464431 . This issue does not affect Cloud NGFW or Prisma Access software.