[TLP:CLEAR] Palo Alto opravuje 7 zranitelností v různých produktech

Palo Alto Networks opravuje sedm zranitelností ve svých produktech. Nejzávažnější z nich jsou popsány níže [1][2][3][4], zbylé naleznete na [5][6][7]. Produkty a jejich opravené verze: PAN-OS [1][3][4] - 10.1.14-h16 (07/2025), 10.2.16-h1 (06/2025), 10.2.17 (08/2025) - 11.0.3, 11.1.10, 11.2.7 (06/2025) GlobalProtect App (Windows, macOS) - 6.3.3, 6.3.3-650, 6.2.8-h2 (06/2025) [2] Prisma Access Browser - 137.16.2.69 [5] Cortex XDR Broker VM - 27.0.26 [6]

Palo Alto PAN-OS - command injection (CVE-2025-4231) CVSS 8.6 (High)

Autentizovanému vzdálenému útočníkovi s administrátorskými právy ve webovém rozhraní správy PAN-OS je umožněno vykonat útok typu command injection a provádět akce jako root [1]. Riziko útoku lze významně snížit omezením přístupu ke správcovskému rozhraní pouze na důvěryhodné interní IP adresy dle doporučení na [8]. Detailní informace ke konkrétní konfiguraci zranitelných instancí a možnostem mitigace rizika naleznete na [1].

Zranitelnost se nachází v produktu PAN-OS ve verzích (>=10.1.0 AND <=10.1.14) OR (>=10.2.0 AND <=10.2.7) OR (>=11.0.0 AND <=11.0.2).

CVSS: CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H/SC:L/SI:N/SA:N/AU:N/R:U/V:C/RE:M/U:Amber

Více informací:

Zranitelnost byla veřejně oznámena 11. 6. 2025.

Palo Alto GlobalProtect App (macOS) - privilege escalation (CVE-2025-4232) CVSS 8.5 (High)

Autentizovanému lokálnímu útočníkovi je na macOS v GlobalProtect App umožněno prostřednictvím nesprávné interpretace zástupných znaků (wildcards) v komponentě pro sběr logů eskalovat svá oprávnění na úroveň root [2].

Zranitelnost se nachází v produktu GlobalProtect App (macOS) ve verzích (>=6.2.0 AND <= 6.2.8-223) OR (>=6.3.0 AND <=6.3.2).

CVSS: CVSS:4.0/AV:L/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/AU:N/R:U/V:D/RE:M/U:Amber

Více informací:

Zranitelnost byla veřejně oznámena 11. 6. 2025.

Palo Alto PAN-OS - OS command injection (CVE-2025-4230) CVSS 8.4 (High)

Autentizovanému lokálnímu útočníkovi s administrátorskými právy a přístupem k příkazové řádce PAN-OS je umožněno obejít bezpečnostní omezení systému a spouštět libovolné příkazy jako root [3]. Riziko lze výrazně snížit omezením přístupu k CLI pouze na důvěryhodné správce.

Zranitelnost se nachází v produktu PAN-OS ve verzích (>=10.1.0 AND <=10.1.14) OR (>=10.2.0 AND <=10.2.13) OR (>=11.1.0 AND <=11.1.9) OR (>=11.2.0 AND <=11.2.5).

CVSS: CVSS:4.0/AV:L/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/R:U/V:D/U:Amber

Více informací:

Zranitelnost byla veřejně oznámena 11. 6. 2025.

Palo Alto PAN-OS - traffic information disclosure (CVE-2025-4229) CVSS 6.0 (Medium)

Neautentizovanému vzdálenému útočníkovi je umožněno získat přístup k nešifrovaným datům odesílaným z firewallu prostřednictvím rozhraní SD-WAN s aktivní funkcí Direct Internet Access. Detailní informace ke konkrétní konfiguraci zranitelných instancí a možnostech dočasné opravy naleznete na [4].

Zranitelnost se nachází v produktu PAN-OS ve verzích (>=10.1.0 AND <=10.1.14) OR (>=10.2.0 AND <=10.2.16) OR (>=11.1.0 AND <=11.1.9) OR (>=11.2.0 AND <=11.2.6).

CVSS: CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:P/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N/AU:N/R:U/V:D/U:Amber

Více informací:

Zranitelnost byla veřejně oznámena 11. 6. 2025.

Za CESNET-CERTS Michaela Ručková dne 19. 6. 2025.

CESNET CERTS Logo