Palo Alto Networks 出现安全漏洞，需立刻修补
重点总结
最近发现了一种中等严重性的认证绕过漏洞，配合之前的关键漏洞，攻击者可获得 PAN 防火墙系统的根级访问权限。漏洞编号为 CVE20250108，攻击者可通过此漏洞绕过认证需求。所有受影响的 PANOS 版本都已经发布了补丁，建议管理员尽快更新。一项高严重性的认证绕过漏洞，近期在 Palo Alto Networks 的 PANOS 软件中被发现并修补，目前正在被威胁行为者利用，以获取受影响防火墙系统的根级访问权限。
该漏洞被追踪为 CVE20250108，允许未经身份验证的攻击者通过网络访问 PANOS 管理网页界面，绕过认证要求。
该漏洞的严重性评估为 CVSS 88满分 10，但仅当允许外部 IP 地址访问管理网页界面时适用。如果限制访问仅限于授权的 IP 地址，则该评估严重性显著降低至 59，这为管理员提供了一种有效的解决办法。
此绕过漏洞使得攻击者能够调用某些 PHP 脚本，尽管可能不会导致远程代码执行，但 Palo Alto 在安全通知中指出，这可能“对 PANOS 的完整性和机密性产生负面影响”。
利用旧漏洞实现根级权限的攻击
此次攻击涉及将 CVE20250108 与两个老漏洞串联使用，其中一个已被积极利用，允许特权升级和对受影响系统的已认证文件读取。
根据 安全通告的更新，Palo Alto Networks 已观察到攻击者尝试将 CVE20250108 与 CVE20249474 和 CVE20250111 链接在一起，针对未打补丁且不安全的 PANOS 网页管理界面进行攻击。
CVE20250108 的发现源于对 CVE20249474 的后期补丁分析，这是一种中等严重性的漏洞CVSS 69/10，在去年 11 月曾被积极利用。当时，攻击者将 CVE20249474 与另一个关键的认证绕过漏洞CVE20240012结合使用，从而实现对被攻击系统的远程代码执行。
如今，威胁行为者正在将 CVE20250108 和 CVE20249474 与高严重性漏洞CVE20250111结合，以获取对脆弱系统的未经授权的根级访问权限，这可能导致敏感配置数据和用户凭据的提取。
立刻修复漏洞的建议
这三项漏洞影响了 PANOS 的版本 101、102、111 和 112，并已相应发布了补丁。Palo Alto Networks 确认其 Cloud NGFW 和 Prisma Access 服务并未受到影响。
一元机场clash订阅官网作为临时解决方案，建议管理员将管理网页界面的访问限制为仅信任的内部 IP 地址。即便如此，未打补丁的系统仍可能保持脆弱，风险有所降低。此外，持有 Threat Prevention 订阅的客户可通过启用 Threat ID 510000 和 510001 来阻止试图利用 CVE20250108 和 CVE20250111 的攻击尝试，安全通告补充说明。
