[TLP:CLEAR] Palo Alto opravuje 3 zraniteľnosti
Palo Alto opravuje 3 zraniteľnosti v 2 produktoch [1][2][3]. Jednotlivé produkty a ich opravené verzie: Autonomous Digital Experience Manager (macOS) - 5.6.7 [1] GlobalProtect™ App (macOS, Windows) - 6.3.3-h1 (6.3.3-c650), 6.2.8-h2 (6.2.8-c243) [2][3] GlobalProtect™ App (Linux) - 6.2.8 [2] [3]
Autentizovanému lokálnemu útočníkovi je v Autonomous Digital Experience Manager (macOS) umožnené zvýšiť svoje oprávnenia na root [1].
Zraniteľnosť sa nachádza v produkte:
- macOS: Palo Alto Networks Autonomous Digital Experience Manager; >=5.6, <5.6.7;
CVSS: CVSS:4.0/AV:L/AC:L/AT:N/PR:L/UI:N/VC:N/VI:L/VA:N/SC:H/SI:H/SA:H/E:U/AU:N/R:U/V:D/RE:M/U:Amber
Viac informácií:
- CVE-2025-0139 na cve.org, NVD
- CWE-266: Incorrect Privilege Assignment na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 9. 7. 2025.
Autentizovanému lokálnemu útočníkovi je umožnené aplikáciu GlobalProtect™ App (macOS, Linux) neoprávnene vypnúť [2].
Zraniteľnosť sa nachádza v produktoch:
- macOS: Palo Alto Networks GlobalProtect™ App; >=6.0, <6.2.8-h2 (6.2.8-c243); >=6.3, <6.3.3-h1 (6.3.3-c650);
- Linux: Palo Alto Networks GlobalProtect™ App; >=6.0, <6.2.8;
CVSS: CVSS:4.0/AV:L/AC:L/AT:N/PR:L/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N/E:U/AU:N/R:U/V:D/RE:M/U:Amber
Viac informácií:
- CVE-2025-0140 na cve.org, NVD
- CWE-266: Incorrect Privilege Assignment na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 9. 7. 2025.
Autentizovanému lokálnemu útočníkovi je v GlobalProtect™ App (macOS, Linux, Windows) umožnené zvýšiť svoje oprávnenia na root, resp. NT AUTHORITY\SYSTEM [3].
Zraniteľnosť sa nachádza v produktoch:
- MacOS: Palo Alto Networks GlobalProtect™ App; >=6.0, <6.2.8-h2 (6.2.8-c243); >=6.3, <6.3.3-h1 (6.3.3-c650);
- Windows: Palo Alto Networks GlobalProtect™ App; >=6.0, <6.2.8-h2 (6.2.8-c243); >=6.3, <6.3.3-h1 (6.3.3-c650);
- Linux: Palo Alto Networks GlobalProtect™ App; >=6.0, <6.2.8;
CVSS: CVSS:4.0/AV:L/AC:L/AT:N/PR:L/UI:N/VC:N/VI:H/VA:N/SC:H/SI:H/SA:H/E:U/AU:N/R:U/V:D/RE:M/U:Amber
Viac informácií:
- CVE-2025-0141 na cve.org, NVD
- CWE-426: Untrusted Search Path na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 9. 7. 2025.
Odkazy
Za CESNET, z.s.p.o. Martin Krajči dňa 10. 7. 2025.