Tento report byl přeložen pomocí AI; překlad zatím nikdo nezkontroloval. Původní jazyk: slovenština.

[TLP:CLEAR] Palo Alto Networks Expedition opravuje 5 zranitelností

Palo Alto Networks verzí 1.2.101 opravuje 5 zranitelností v produktu Expedition. Tato verze je zároveň poslední vydanou verzí, protože uvedený produkt je na konci životnosti. Jako dočasnou opravu pro všechny zveřejněné zranitelnosti je možné zamezit přístupu z nedůvěryhodných zdrojů [1]. Nejzávažnější zranitelnosti jsou uvedeny níže.

Palo Alto Networks Expedition - SQL injection (CVE-2025-0103)
CVSS 7.1 (High)

Autentizovanému vzdálenému útočníkovi je umožněno provést útok SQL injection, což způsobí únik citlivých informací, jako jsou hashe hesel a přístupové API klíče [1].

Zranitelnost se nachází v produktu:

  • Palo Alto Networks Expedition; <1.2.101;

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:N

Více informací:

  • CVE-2025-0103 na cve.org, NVD
  • CWE-89: Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') na cwe.mitre.org

Zranitelnost byla veřejně oznámena 8. 1. 2025.

Palo Alto Networks Expedition - XSS (CVE-2025-0104)
CVSS 7.1 (High)

Neautentizovanému vzdálenému útočníkovi je pomocí sociálního inženýrství umožněno provést XSS útok [1].

Zranitelnost se nachází v produktu:

  • Palo Alto Networks Expedition; <1.2.101;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:L/A:N

Více informací:

  • CVE-2025-0104 na cve.org, NVD
  • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') na cwe.mitre.org

Zranitelnost byla veřejně oznámena 8. 1. 2025.

Palo Alto Networks Expedition - OS command execution (CVE-2025-0107)
CVSS 7.4 (High)

Autentizovanému vzdálenému útočníkovi s právy www-data je umožněno provádět příkazy v operačním systému, což způsobí únik citlivých informací, jako jsou uživatelská jména, hesla a přístupové API klíče k firewallům [1].

Zranitelnost se nachází v produktu:

  • Palo Alto Networks Expedition; <1.2.101;

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:L

Více informací:

  • CVE-2025-0107 na cve.org, NVD
  • CWE-78: Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection') na cwe.mitre.org

Zranitelnost byla veřejně oznámena 8. 1. 2025.

Za CESNET, z.s.p.o. Martin Krajči dne 13. 1. 2025.

CESNET, z.s.p.o. Logo