CVE-2025-0108
PAN-OS: обход аутентификации в веб-интерфейсе управления
CVE-2025-0108 позволяет неаутентифицированному атакующему с сетевым доступом к management web interface вызывать отдельные PHP-скрипты. Ограничьте управление доверенными сетями и обновите PAN-OS.
Кому нужно проверить
Администраторам PAN-OS firewall, отвечающим за management interface, dataplane profiles и GlobalProtect deployment. Важна не только марка продукта, но и конкретная версия, способ установки, операционная система и конфигурация.
В чём риск
Атакующий с доступом к management web interface может обойти аутентификацию и вызвать отдельные PHP-скрипты, что влияет на конфиденциальность и целостность PAN-OS. RCE advisory не подтверждает.
Затронутые версии
Затронуты PAN-OS 11.2 ниже 11.2.4-h4, 11.1 ниже применимого исправленного h-релиза, 10.2 ниже исправленных h-релизов и 10.1 ниже 10.1.14-h9. EoL-ветки 11.0, 10.0, 9.1 и старше считаются затронутыми и исправления для них не планируются. Cloud NGFW и Prisma Access не затронуты.
Исправленные версии
Palo Alto указывает исправления: 11.2.4-h4 или 11.2.5; 11.1.2-h18, 11.1.4-h13 или 11.1.6-h1; для 10.2: 10.2.7-h24, 10.2.8-h21, 10.2.9-h21, 10.2.10-h14, 10.2.11-h12, 10.2.12-h6 или 10.2.13-h3; 10.1.14-h9.
Что сделать
- 1Проверьте версии PAN-OS и все интерфейсы, на которых доступно управление, включая management interface profile на dataplane.
- 2Немедленно разрешите управление только доверенным внутренним IP через recommended deployment guidelines и исключите интернет-доступ; не полагайтесь на нестандартный порт как на защиту.
- 3Обновите до исправленного h-релиза поддерживаемой ветки, проверив совместимость, резервную конфигурацию и аварийный доступ к устройству.
- 4Проверьте журналы управления, недавно созданные админские сессии и изменения конфигурации. EoL-ветки замените поддерживаемой версией, а не только ограничивайте доступ.
Как не подпустить ботов к сайту
BotProtection принимает запросы перед вашим сайтом и фильтрует автоматизированные обращения. Поэтому ботам сложнее добраться до уязвимого компонента и начать его проверять или атаковать, а вероятность успешной автоматизированной атаки становится значительно ниже. Это дополнительный слой защиты: обновление уязвимых компонентов, проверка журналов и реагирование на инциденты остаются обязательными.
Первоисточники
Снизьте шанс атаки до того, как бот дойдёт до сайта
Подключите BotProtection как фильтр перед сайтом: подозрительные автоматизированные запросы отсекаются до обращения к вашему серверу. Это значительно снижает вероятность автоматизированной атаки, но не исправляет саму уязвимость, поэтому обновление и настройка компонентов остаются обязательными.