Zalogowany użytkownik panelu PAN-OS może odczytać pliki zapory, a napastnicy łączą tę lukę z obejściem logowania CVE-2025-0108. CISA potwierdza ataki. Ogranicz dostęp do panelu i zaktualizuj PAN-OS.
Ten alert jest dla zarządu, CTO i CFO firm, których sieć chronią zapory Palo Alto Networks z systemem PAN-OS. Werdykt: jeśli panel zarządzania zaporą jest osiągalny z internetu lub z niezaufanych sieci, a PAN-OS nie ma poprawki z lutego 2025 roku, ogranicz dostęp do panelu i zaktualizuj system dziś, bo luka jest wykorzystywana w atakach łączonych z obejściem logowania.
Amerykańska agencja CISA 20 lutego 2025 roku dopisała podatność CVE-2025-0111 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Błąd dotyczy panelu zarządzania zaporą (interfejsu webowego PAN-OS). Osoba zalogowana do panelu może odczytać pliki z dysku zapory, dostępne dla systemowego konta o najniższych uprawnieniach („nobody”).
Sam wymóg logowania nie uspokaja. Producent odnotował próby łączenia tej luki z CVE-2025-0108 (obejście logowania w tym samym panelu, wpisane do KEV dwa dni wcześniej) oraz CVE-2024-9474. Termin naprawy wg CISA minął 13 marca 2025 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-0111 (ataki łączone z CVE-2025-0108 i CVE-2024-9474) |
Data dodania do CISA KEV | 2025-02-20 |
Termin naprawy wg CISA | 2025-03-13 (21 dni od wpisu) |
Produkt | Palo Alto Networks PAN-OS, panel zarządzania (interfejs webowy). Cloud NGFW i Prisma Access nie są podatne |
Wersje zagrożone | PAN-OS 10.1, 10.2, 11.1 i 11.2 sprzed wersji z poprawką; 11.0 (koniec wsparcia) oraz starsze niewspierane wydania. Ryzyko największe, gdy panel jest dostępny z internetu lub przez interfejs ruchowy z profilem zarządzania |
Wersje bezpieczne | 10.1: 10.1.14-h9 i nowsze. 10.2: 10.2.13-h3 i nowsze (także 10.2.7-h24, 10.2.8-h21, 10.2.9-h21, 10.2.10-h14, 10.2.11-h12, 10.2.12-h6). 11.1: 11.1.6-h1 i nowsze (także 11.1.2-h18, 11.1.4-h13). 11.2: 11.2.4-h4 lub 11.2.5 i nowsze. 11.0: brak poprawki, przejście na wspieraną gałąź |
Typ podatności | Odczyt plików przez zalogowanego użytkownika; CWE-73 (zewnętrzna kontrola nazwy lub ścieżki pliku), w NVD CWE-610 |
Ocena CVSS | Producent: 7.1 (CVSS 4.0, WYSOKA, pilność producenta: najwyższa, stan: atakowana). NVD: 6.5 (CVSS 3.1, ŚREDNIA). Atak przez sieć, wymaga konta w panelu, bez udziału użytkownika |
Wyobraź sobie archiwum firmy z recepcją. Pracownik z przepustką może poprosić o wydanie konkretnej teczki z działu, do którego ma dostęp. Błąd polegał na tym, że archiwista nie sprawdzał, z jakiego regału pochodzi teczka wpisana na rewersie. Kto miał jakąkolwiek przepustkę, mógł zamówić teczkę z innego pomieszczenia, byle nie z sejfu.
Tym „sejfem” są pliki, do których konto „nobody” nie ma dostępu, więc wyciek dotyczy wycinka dysku zapory, a nie całości. Kłopot w tym, że „przepustkę” napastnicy zdobywali nie tylko przez kradzież hasła, ale też przez inną lukę w tym samym panelu, która pozwalała obejść logowanie.
💡 Panel zarządzania to strona, przez którą administrator konfiguruje zaporę. Konto „nobody” to systemowe konto o minimalnych uprawnieniach, na którym działa część obsługująca żądania z sieci. Profil zarządzania to ustawienie, które pozwala otworzyć panel także na zwykłym porcie sieciowym, nie tylko na dedykowanym porcie administracyjnym. KEV to katalog CISA z lukami potwierdzonymi w atakach.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Administrator loguje się do panelu | Widzi i zmienia konfigurację zgodnie z uprawnieniami | Tak samo, nic nie zauważa |
Zalogowany użytkownik o ograniczonej roli | Widzi tylko to, co przewiduje jego rola | Może odczytać pliki systemowe dostępne dla konta „nobody” |
Stare konto integratora lub byłego pracownika | Martwe, jeśli usunięte | Staje się drogą do odczytu plików zapory |
Napastnik bez konta | Zatrzymany na ekranie logowania | Na niezaktualizowanej zaporze może połączyć tę lukę z obejściem logowania |
Panel dostępny tylko z sieci administracyjnej | Niedostępny z internetu | Atak z internetu praktycznie niemożliwy |
źródło: Pexels, Tima MiroshnichenkoPoniżej typowy przebieg ataku dla tej klasy podatności, a nie odtworzenie konkretnego incydentu. Luka wymaga zalogowania do panelu, dlatego atak nie zaczyna się od „każdego z internetu”: napastnik potrzebuje osiągalnego panelu oraz konta albo drugiej luki, która logowanie omija. CISA ocenia, że ataku nie da się łatwo zautomatyzować, więc jest to raczej praca na wybranych celach.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Rozpoznanie | T+0 min | Wyszukiwanie zapór z panelem zarządzania widocznym z internetu | Lista potencjalnych celów |
2. Zdobycie dostępu do panelu | T+godziny do dni | Użycie wykradzionych lub domyślnych danych logowania albo obejście logowania przez CVE-2025-0108 na zaporze bez poprawki | Sesja w panelu zarządzania |
3. Odczyt plików | T+minuty od zalogowania | Pobranie plików systemowych dostępnych dla konta „nobody” | Informacje o konfiguracji i działaniu zapory |
4. Łączenie z kolejną luką | T+godziny | Według producenta próby łączenia z CVE-2024-9474 na niezaktualizowanych urządzeniach | Szerszy wpływ na zaporę |
5. Wejście głębiej | T+dni | Wykorzystanie zdobytej wiedzy do dalszego ataku na sieć firmy | Rozpoznanie sieci wewnętrznej |
6. Skutki | T+tygodnie | Kradzież danych lub przygotowanie większego ataku | Straty finansowe i operacyjne |
Zapora to granica sieci firmy. Luka sama w sobie ujawnia ograniczony zakres plików, ale w połączeniu z innymi błędami tego samego panelu staje się elementem łańcucha, który prowadzi do przejęcia urządzenia chroniącego całą firmę.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Konieczność pilnej rekonfiguracji lub wymiany ustawień zapory, przerwy w dostępie do sieci | Dni | 20 tys. do 150 tys. PLN (przestój, prace serwisowe) |
Bezpieczeństwo danych | Ujawnienie informacji o konfiguracji zapory, ułatwiające dalszy atak | Godziny od wejścia | 20 tys. do 120 tys. PLN (analiza powłamaniowa) |
Finansowy | Koszty zewnętrznych specjalistów, nadgodzin i ewentualnej wymiany haseł i certyfikatów | Tygodnie | 30 tys. do 300 tys. PLN łącznie |
Reputacyjny | Pytania klientów i audytorów o zabezpieczenie granicy sieci | Miesiące | 20 tys. do 200 tys. PLN (utracone kontrakty) |
Prawny | Jeśli atak doprowadzi do wycieku danych osobowych: zgłoszenie do UODO w ciągu 72 godzin; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu (zależnie od okoliczności i skali zaniedbań) | 72 godziny od wykrycia | 10 tys. do 100 tys. PLN (prawnicy, obsługa zgłoszeń), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla zapory PAN-OS bez poprawki
z panelem dostępnym z internetu
Wpływ
5 | . . . . .
4 | . . . . .
3 | . . . ■ . ← WYSOKIE (w łańcuchu z CVE-2025-0108)
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: sama luka ma średni wpływ (odczyt części plików), ale przy panelu widocznym z internetu i braku lutowych poprawek prawdopodobieństwo jest wysokie, bo producent potwierdza ataki łączone; zapora z panelem dostępnym tylko z sieci administracyjnej i aktualnym PAN-OS spada do niskiego ryzyka.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Sprawdzić, czy panel zarządzania jest dostępny z internetu lub przez interfejs ruchowy z profilem zarządzania | Dziś | Administrator zapory |
2 | 🔴 NATYCHMIAST | Ograniczyć dostęp do panelu wyłącznie do zaufanych adresów wewnętrznych (zalecenie producenta) | Dziś | Administrator zapory |
3 | 🔴 NATYCHMIAST | Zaktualizować PAN-OS do wersji z poprawką dla swojej gałęzi; zapory na 11.0 przenieść na wspieraną gałąź | Do 3 dni | Administrator / partner IT |
4 | 🟠 PILNIE | Przejrzeć listę kont w panelu: usunąć konta wspólne, konta integratorów i byłych pracowników | Do 3 dni | Kierownik IT |
5 | 🟠 PILNIE | Przejrzeć logi logowań i działań w panelu od lutego 2025 roku | Do 7 dni | Dział IT / zespół bezpieczeństwa |
6 | 🟡 WAŻNIE | Włączyć sygnatury Threat ID 510000 i 510001, jeśli firma ma subskrypcję Threat Prevention | Do 7 dni | Administrator zapory |
7 | 🟡 WAŻNIE | Wprowadzić kwartalny przegląd wersji PAN-OS i kont administracyjnych | Do 30 dni | CTO |
Producent wydał poprawki dla wszystkich wspieranych gałęzi PAN-OS, więc docelowo trzeba je wgrać. Gałąź 11.0 nie dostanie poprawki. Do czasu okna serwisowego można ograniczyć ryzyko; oceny poniżej to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Dostęp do panelu tylko z zaufanych adresów wewnętrznych (zalecenie producenta) | Wysoka: usuwa atak z internetu | Łatwa do średniej |
Wyłączenie profilu zarządzania na interfejsach ruchowych | Wysoka | Łatwa |
Sygnatury Threat ID 510000 i 510001 (subskrypcja Threat Prevention, zalecenie producenta) | Średnia do wysokiej: blokuje znane ataki, nie usuwa błędu | Łatwa, wymaga subskrypcji |
Przegląd i ograniczenie kont w panelu | Średnia: utrudnia zdobycie konta, nie chroni przed obejściem logowania | Łatwa |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Dostęp do panelu | Możliwy z internetu lub z interfejsu ruchowego | Tylko z zaufanych adresów wewnętrznych |
Odczyt plików zapory | Możliwy dla zalogowanego lub omijającego logowanie | Zamknięty poprawką |
Konta administracyjne | Wspólne, stare, konta integratorów | Imienne, przejrzane, bez martwych kont |
Wiedza o incydencie | Brak | Przejrzane logi panelu od lutego 2025 |
Zgodność z terminem CISA | Zaległość ponad 1,5 roku | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). Producent obserwował próby łączenia z CVE-2025-0108 i CVE-2024-9474 na niezaktualizowanych i niezabezpieczonych panelach |
Grupy przestępcze | Brak publicznych informacji |
Kampanie ransomware | Brak potwierdzenia (CISA KEV: Unknown) |
Ocena CVSS | 7.1 WYSOKA wg producenta (CVSS 4.0); 6.5 ŚREDNIA wg NVD (CVSS 3.1) |
PoC dostępny publicznie? | Brak publicznych informacji |
Liczba atakowanych firm | Brak publicznych informacji |
Kto zgłosił błąd | Émilio Gonzalez, Maxime Gaudreault oraz zespół badawczy producenta |
Prognoza EPSS | Około 2% szansy próby w ciągu miesiąca (wg analizy źródłowej); niska, bo atak wymaga konta i nie jest masowy |
Niska prognoza EPSS przy potwierdzonych atakach oznacza, że ofiarą nie zostaje się przy masowym skanowaniu, tylko wtedy, gdy ktoś wybrał daną firmę albo używa tej luki jako drugiego kroku. Firmy z filtrem „łatamy tylko wysokie i krytyczne” mogą ją przeoczyć, jeśli ich narzędzie bierze ocenę 6.5 z NVD.
Sygnały zagrożenia dla CVE-2025-0111
CVSS 4.0 (producent) 7.1/10 ██████████████░░░░░░ WYSOKA
CVSS 3.1 (NVD) 6.5/10 █████████████░░░░░░░ ŚREDNIA
EPSS (próba w 30 dni) ~2% ░░░░░░░░░░░░░░░░░░░░ NISKA
CISA KEV TAK ████████████████████ ataki potwierdzone
Ransomware (CISA) Unknown ░░░░░░░░░░░░░░░░░░░░ brak potwierdzenia 2025-02-12 Producent publikuje biuletyn CVE-2025-0111 (razem z CVE-2025-0108)
2025-02-18 CISA dodaje CVE-2025-0108 (obejście logowania) do KEV
2025-02-20 CISA dodaje CVE-2025-0111 do katalogu KEV
2025-03-11 Termin naprawy CVE-2025-0108 wg CISA
2025-03-13 Termin naprawy CVE-2025-0111 wg CISA
... ponad 1,5 roku od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Oficjalny biuletyn producenta z tabelą wersji i obejściami: security.paloaltonetworks.com/CVE-2025-0111 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-0111 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić, czy firma (lub partner IT) używa zapór Palo Alto z PAN-OS instalowanym lokalnie | CTO | DZISIAJ |
2 | Uzyskać pisemną odpowiedź: wersja PAN-OS i adresy, z których dostępny jest panel zarządzania | CTO | DZISIAJ |
3 | Zatwierdzić ograniczenie dostępu do panelu do zaufanych adresów wewnętrznych | CTO | DZISIAJ |
4 | Zatwierdzić okno serwisowe na aktualizację PAN-OS | CTO | DO JUTRA |
5 | Zlecić przegląd kont administracyjnych i logów panelu od lutego 2025 | CTO | DO JUTRA |
6 | Sprawdzić, czy firma opłaca subskrypcję Threat Prevention i czy jest wykorzystywana | CFO | DO JUTRA |
7 | Zarezerwować budżet na migrację zapór z gałęzi 11.0 lub starszych niewspieranych | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Na jakiej wersji PAN-OS działają nasze zapory? | [wersja] | 🔴 |
2 | Czy panel zarządzania jest dostępny z internetu? | TAK / NIE | 🔴 |
3 | Czy któryś interfejs ruchowy ma włączony profil zarządzania i z jakich adresów? | TAK / NIE, [lista adresów] | 🔴 |
4 | Czy mamy zapory na gałęzi 11.0 lub starszej niewspieranej? | TAK / NIE | 🟠 |
5 | Ile kont ma dostęp do panelu i czy wszystkie są imienne i aktualne? | [liczba kont] | 🟠 |
6 | Czy włączone są sygnatury Threat ID 510000 i 510001? | TAK / NIE | 🟡 |
7 | Kiedy ostatnio przejrzano logi logowań do panelu? | [data] | 🟡 |
CVE-2025-0111 pozwala zalogowanemu użytkownikowi panelu PAN-OS odczytać część plików zapory, a napastnicy łączyli ją z obejściem logowania z tego samego biuletynu. CISA potwierdza ataki, a termin naprawy minął 13 marca 2025 roku, więc ograniczenie dostępu do panelu i aktualizacja PAN-OS to zadania na dziś, a przegląd kont i logów na ten tydzień.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Luka w systemach PLM firmy PTC pozwala bez logowania przejąć serwer. Grupa Cl0p wykorzystuje ją do kradzieży dokumentacji produktów i szantażu. Zainstaluj poprawki i sprawdź ślady włamania.
Czytaj artykułCISA dodała do katalogu KEV lukę z 2015 roku w narzędziu ABRT, która daje napastnikowi uprawnienia root na serwerach RHEL 7 i CentOS 7. Zaktualizuj pakiet abrt i zaplanuj wymianę systemów bez wsparcia.
Czytaj artykułLuka o ocenie 10.0 w konsoli Cisco Secure Firewall Management Center pozwala ominąć logowanie i przejąć urządzenie. Cisco i CISA potwierdzają ataki. Zaktualizuj FMC i sprawdź ślady włamania.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.