Tento report bol preložený pomocou AI; preklad zatiaľ nikto neskontroloval. Pôvodný jazyk: čeština.

[TLP:CLEAR] Palo Alto Networks opravuje 5 zraniteľností

Palo Alto Networks opravuje 5 zraniteľností vo svojich produktoch. Najzávažnejšie z nich sú popísané nižšie [1][2][3][4], zvyšok nájdete na [5]. Produkty a ich opravené verzie: PAN-OS [1][3][4] - 10.1.14-h11; - 10.2.13-h5, 10.2.14 (očakávaná dostupnosť 3.4.2025); - 11.0.6; - 11.1.8; - 11.2.5; GlobalProtect App (pre Windows) [2][5] - 6.2.6; - 6.3.3 (očakávaná dostupnosť v apríli 2025).

Palo Alto Networks PAN-OS - DoS (CVE-2025-0114)
CVSS 4.6 (Medium)

Neautentizovanému vzdialenému útočníkovi je na službu GlobalProtect v PAN-OS umožnené vykonať útok DoS. Zraniteľné sú iba inštancie s touto funkcionalitou. Konfiguráciu je možné overiť vo webovom rozhraní firewallu v Network > GlobalProtect > Portals a Network > GlobalProtect > Gateways [1].

Zraniteľnosť sa nachádza v produkte:

  • *:Palo Alto Networks PAN-OS;>=10.1,<10.1.14-h11;>=10.2,<10.2.5;>=11.0,<11.0.2;

CVSS: CVSS:4.0/AV:N/AC:H/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N/E:U/AU:N/R:U/V:C/RE:M/U:Amber

Viac informácií:

Zraniteľnosť bola verejne oznámená 12. 3. 2025.

Palo Alto Networks GlobalProtect App - eskalácia oprávnení (CVE-2025-0117)
CVSS 4.3 (Medium)

Autentizovanému lokálnemu útočníkovi bez administrátorských práv je v GlobalProtect App na Windows umožnené eskalovať svoje oprávnenia na NT AUTHORITY\SYSTEM. Okrem aktualizácie na opravenú verziu je nutné upraviť kľúč v registri Windows pridaním hodnoty "check-communication"="yes" ako REG_SZ v umiestnení: [HKEY_LOCAL_MACHINE\SOFTWARE\Palo Alto Networks\GlobalProtect\Settings] a reštartovať zariadenie. Pri nových inštaláciách je alternatívne možné použiť príkaz msiexec.exe /i GlobalProtect64.msi CHECKCOMM="yes", ktorý nastaví správnu hodnotu automaticky. Bez tejto konfigurácie zostane zariadenie zraniteľné aj po aktualizácii [2].

Zraniteľnosť sa nachádza v produkte:

  • Windows:Palo Alto Networks GlobalProtect App;>=6.0,<6.2.6;>=6.3,<6.3.3;

CVSS: CVSS:4.0/AV:L/AC:L/AT:N/PR:L/UI:P/VC:N/VI:H/VA:N/SC:H/SI:H/SA:H/E:U/AU:N/R:U/V:D/RE:M/U:Amber

Viac informácií:

Zraniteľnosť bola verejne oznámená 12. 3. 2025.

Palo Alto Networks PAN-OS - čítanie ľubovoľných súborov (CVE-2025-0115)
CVSS 4.3 (Medium)

Autentizovanému lokálnemu útočníkovi s administrátorskými právami je v PAN-OS CLI umožnené čítať ľubovoľné súbory [3]. Riziko útoku možno významne znížiť obmedzením prístupu k správcovskému rozhraniu iba na dôveryhodné interné IP adresy podľa odporúčania na [6].

Zraniteľnosť sa nachádza v produkte:

  • *:Palo Alto Networks PAN-OS;>=10.1,<10.1.14-h11;>=10.2,<10.2.11;>=11.0,<11.0.6;>=11.1,<11.1.5;>=11.2,<11.2.3;

CVSS: CVSS:4.0/AV:L/AC:L/AT:N/PR:L/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N/E:U/AU:N/R:U/V:C/RE:M/U:Amber

Viac informácií:

Zraniteľnosť bola verejne oznámená 12. 3. 2025.

Palo Alto Networks PAN-OS - DoS (CVE-2025-0116)
CVSS 4.3 (Medium)

Neautentizovanému vzdialenému útočníkovi je v PAN-OS zasielaním špecificky vytvorených LLDP rámcov umožnené vykonať na firewall útok DoS. Zraniteľné sú iba systémy s povolenými LLDP rámcami aspoň na jednom sieťovom rozhraní. Detailnejšie informácie sú k dispozícii na [4].

Zraniteľnosť sa nachádza v produkte:

  • *:Palo Alto Networks PAN-OS>=10.1,<10.1.14-h11;>=10.2,<10.2.13-h5;>10.2.13-h5,<10.2.14;>=11.1,<11.1.8;>=11.2,<11.2.5;

CVSS: CVSS:4.0/AV:A/AC:L/AT:N/PR:N/UI:A/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N/E:U/AU:N/R:U/V:C/RE:M/U:Amber

Viac informácií:

Zraniteľnosť bola verejne oznámená 12. 3. 2025.

Za CESNET, z.s.p.o. Michaela Ručková dňa 17. 3. 2025.

CESNET, z.s.p.o. Logo