Компания Palo Alto Networks выпустила обновление для своей операционной системы PAN-OS, которая используется в их межсетевых экранах. Это обновление исправляет серьезную проблему безопасности (CVE-2025-0108), которая позволяет злоумышленнику обойти аутентификацию в веб-интерфейсе управления. Эта проблема оценена на 7.8 по шкале CVSS, но ее риск снижается до 5.1, если доступ к интерфейсу ограничен.
Проблема заключается в том, что злоумышленник с доступом к управлению сетью может обойти аутентификацию и выполнить определенные PHP-скрипты. Хотя удаленное выполнение кода невозможно, это может негативно повлиять на безопасность и конфиденциальность системы.
Уязвимыми оказались следующие версии PAN-OS:
Исследователь безопасности Адам Кьюс из Searchlight Cyber, который обнаружил эту проблему, пояснил, что она связана с различиями в обработке запросов между компонентами Nginx и Apache, что позволяет провести атаку обхода каталога.
Кроме того, Palo Alto Networks исправила еще две уязвимости:
Для уменьшения риска, связанного с этой уязвимостью, рекомендуется отключить доступ к интерфейсу управления из Интернета или ненадежных сетей. Клиенты, которые не используют OpenConfig, могут отключить или удалить плагин из своих устройств.
Palo Alto Networks представляет экстренный патч для PAN-OS
