CSIRT Toscana Palo Alto Networks: risolte vulnerabilità in PAN-OS (AL01/250213/CSIRT-ITA)
Data:
20 Febbraio 2025 10:04
Impatto Sistemico
Critico (76.66)
Sintesi
Aggiornamenti di sicurezza sanano alcune vulnerabilità, di cui 2 con gravità “alta” in PAN-OS. Tali vulnerabilità, qualora sfruttate, potrebbero consentire a un utente malintenzionato di bypassare l’autenticazione ed eseguire comandi arbitrari.
Note : la vulnerabilità CVE-2025-0111 risulta essere sfruttata attivamente in rete.
Note : la vulnerabilità CVE-2025-0108 risulta essere sfruttata attivamente in rete.
Note : un Proof of Concept (PoC) per lo sfruttamento della vulnerabilità CVE-2025-0108 risulta disponibile in rete.
Tipologia
- Arbitrary Code Execution
- Authentication Bypass
Prodotti e/o versioni affette
PAN-OS OpenConfig Plugin, versioni precedenti alla 2.1.2
PAN-OS
- 11.2.x, versione 11.2.4 e precedenti
- 11.1.x, versione 11.1.6 e precedenti
- 11.0 (EoL)
- 10.2.x, versione 10.2.13 e precedenti
- 10.1.x, versione 10.1.14 e precedenti
Azioni di mitigazione
In linea con le dichiarazioni del vendor, si consiglia di aggiornare i prodotti vulnerabili seguendo le indicazioni dei bollettini di sicurezza riportati nella sezione Riferimenti.
Di seguito sono riportate le sole CVE relative alle vulnerabilità con gravità “alta”:
Riferimenti
- https://security.paloaltonetworks.com/CVE-2025-0108
- https://security.paloaltonetworks.com/CVE-2025-0110
- https://security.paloaltonetworks.com/CVE-2025-0111
CVE
| CVE-ID | ||
|---|---|---|
| CVE-2025-0108 | CVE-2025-0110 | CVE-2025-0111 |
Change log
| Versione | Note | Data |
|---|---|---|
| 1.0 | Pubblicato il 13-02-2025 | 13/02/2025 |
| 1.1 | Aggiornata la sezione “Sintesi” con l’aggiunta di 2 note per la CVE-2025-0108. Aggiornato Impatto Sistemico | 17/02/2025 |
| 1.2 | Aggiornamenti dovuti a puntuali modifiche del vendor all’advisory relativo alla CVE-2025-0111: aggiunta CVE-2025-0111 alla sezione “CVE”; aggiunto un URL alla sezione “Riferimenti”; aggiunta una nota per sfruttamento CVE-2025-0111 alla sezione “Sintesi” | 20/02/2025 |
Il presente articolo è un prodotto originale di csirt.gov.it, riproposto qui a solo scopo di aumentarne la visibilità. Può essere visualizzato in versione originale al seguente link