Tento report bol preložený pomocou AI; preklad zatiaľ nikto neskontroloval. Pôvodný jazyk: čeština.

[TLP:CLEAR] Palo Alto opravuje 7 zraniteľností v rôznych produktoch

Palo Alto Networks opravuje sedem zraniteľností vo svojich produktoch. Najzávažnejšie z nich sú popísané nižšie [1][2][3][4], ostatné nájdete na [5][6][7]. Produkty a ich opravené verzie: PAN-OS [1][3][4] - 10.1.14-h16 (07/2025), 10.2.16-h1 (06/2025), 10.2.17 (08/2025) - 11.0.3, 11.1.10, 11.2.7 (06/2025) GlobalProtect App (Windows, macOS) - 6.3.3, 6.3.3-650, 6.2.8-h2 (06/2025) [2] Prisma Access Browser - 137.16.2.69 [5] Cortex XDR Broker VM - 27.0.26 [6]

Palo Alto PAN-OS - command injection (CVE-2025-4231)
CVSS 8.6 (High)

Autentifikovanému vzdialenému útočníkovi s administrátorskými právami vo webovom rozhraní správy PAN-OS je umožnené vykonať útok typu command injection a vykonávať akcie ako root [1]. Riziko útoku možno výrazne znížiť obmedzením prístupu k správcovskému rozhraniu iba na dôveryhodné interné IP adresy podľa odporúčania na [8]. Detailné informácie o konkrétnej konfigurácii zraniteľných inštancií a možnostiach mitigácie rizika nájdete na [1].

Zraniteľnosť sa nachádza v produkte:

  • PAN-OS; >=10.1.0, <=10.1.14; >=10.2.0, <=10.2.7; >=11.0.0, <=11.0.2;

CVSS: CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H/SC:L/SI:N/SA:N/AU:N/R:U/V:C/RE:M/U:Amber

Viac informácií:

  • CVE-2025-4231 na cve.org, NVD
  • CWE-77: Improper Neutralization of Special Elements used in a Command ('Command Injection') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 11. 6. 2025.

Palo Alto GlobalProtect App (macOS) - privilege escalation (CVE-2025-4232)
CVSS 8.5 (High)

Autentifikovanému lokálnemu útočníkovi je na macOS v GlobalProtect App umožnené prostredníctvom nesprávnej interpretácie zástupných znakov (wildcards) v komponente na zber logov eskalovať svoje oprávnenia na úroveň root [2].

Zraniteľnosť sa nachádza v produkte:

  • GlobalProtect App (macOS); >=6.2.0, <= 6.2.8-223; >=6.3.0, <=6.3.2;

CVSS: CVSS:4.0/AV:L/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/AU:N/R:U/V:D/RE:M/U:Amber

Viac informácií:

Zraniteľnosť bola verejne oznámená 11. 6. 2025.

Palo Alto PAN-OS - OS command injection (CVE-2025-4230)
CVSS 8.4 (High)

Autentifikovanému lokálnemu útočníkovi s administrátorskými právami a prístupom k príkazovému riadku PAN-OS je umožnené obísť bezpečnostné obmedzenia systému a spúšťať ľubovoľné príkazy ako root [3]. Riziko možno výrazne znížiť obmedzením prístupu k CLI iba na dôveryhodných správcov.

Zraniteľnosť sa nachádza v produkte:

  • PAN-OS; >=10.1.0, <=10.1.14; >=10.2.0, <=10.2.13; >=11.1.0, <=11.1.9; >=11.2.0, <=11.2.5;

CVSS: CVSS:4.0/AV:L/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/R:U/V:D/U:Amber

Viac informácií:

  • CVE-2025-4230 na cve.org, NVD
  • CWE-78: Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 11. 6. 2025.

Palo Alto PAN-OS - traffic information disclosure (CVE-2025-4229)
CVSS 6.0 (Medium)

Neautentifikovanému vzdialenému útočníkovi je umožnené získať prístup k nešifrovaným dátam odosielaným z firewallu prostredníctvom rozhrania SD-WAN s aktívnou funkciou Direct Internet Access. Detailné informácie o konkrétnej konfigurácii zraniteľných inštancií a možnostiach dočasnej opravy nájdete na [4].

Zraniteľnosť sa nachádza v produkte:

  • PAN-OS; >=10.1.0, <=10.1.14; >=10.2.0, <=10.2.16; >=11.1.0, <=11.1.9; >=11.2.0, <=11.2.6;

CVSS: CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:P/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N/AU:N/R:U/V:D/U:Amber

Viac informácií:

  • CVE-2025-4229 na cve.org, NVD
  • CWE-497: Exposure of Sensitive System Information to an Unauthorized Control Sphere na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 11. 6. 2025.

Za CESNET, z.s.p.o. Michaela Ručková dňa 18. 6. 2025.

CESNET, z.s.p.o. Logo