[TLP:CLEAR] Palo Alto Networks Expedition opravuje 5 zraniteľností
Palo Alto Networks verziou 1.2.101 opravuje 5 zraniteľností v produkte Expedition. Táto verzia je zároveň poslednou vydanou verziou, pretože uvedený produkt je na konci životnosti. Ako dočasnú opravu pre všetky zverejnené zraniteľnosti je možné zamedziť prístup z nedôveryhodných zdrojov [1]. Najzávažnejšie zraniteľnosti sú uvedené nižšie.
Autentizovanému vzdialenému útočníkovi je umožnené vykonať SQL injection útok, čo spôsobí únik citlivých informácií ako sú hashe hesiel a prístupové API kľúče [1].
Zraniteľnosť sa nachádza v produkte:
- Palo Alto Networks Expedition; <1.2.101;
CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:N
Viac informácií:
- CVE-2025-0103 na cve.org, NVD
- CWE-89: Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 8. 1. 2025.
Neautentizovanému vzdialenému útočníkovi je pomocou sociálneho inžinierstva umožnené vykonať XSS útok [1].
Zraniteľnosť sa nachádza v produkte:
- Palo Alto Networks Expedition; <1.2.101;
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:L/A:N
Viac informácií:
- CVE-2025-0104 na cve.org, NVD
- CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 8. 1. 2025.
Autentizovanému vzdialenému útočníkovi s právami www-data je umožnené vykonávať príkazy v operačnom systéme, čo spôsobí únik citlivých informácií, ako sú používateľské mená, heslá a prístupové API kľúče k firewallom [1].
Zraniteľnosť sa nachádza v produkte:
- Palo Alto Networks Expedition; <1.2.101;
CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:L
Viac informácií:
- CVE-2025-0107 na cve.org, NVD
- CWE-78: Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection') na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 8. 1. 2025.
Za CESNET, z.s.p.o. Martin Krajči dňa 13. 1. 2025.