Palo Alto Networks PAN-OS の認証回避の脆弱性（CVE-2025-0108）

何が起きた

Palo Alto Networks のファイアウォール用ソフトウェア PAN-OS の管理用の Web 画面に、認証（ログインの確認）をすり抜けられる弱点が見つかり、実際の悪用が確認されています。管理用の Web 画面にネットワークで届けば、ログインしていない攻撃者でも、一部の PHP スクリプトを動かせます。これだけで外から命令を実行されることはありませんが、情報の秘密性や正しさが損なわれるおそれがあります。Palo Alto Networks は、CVE-2024-9474 や CVE-2025-0111 と組み合わせて悪用しようとする試みを確認しています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

PAN-OS を使った Palo Alto Networks のファイアウォールを使っている組織です。修正前の PAN-OS 10.1、10.2、11.1、11.2 が影響を受けます。Cloud NGFW と Prisma Access は影響を受けません。PAN-OS 11.0 などサポートが終わった版は、影響を受けるものとみなされ、修正は予定されていません。

何をすればいい

PAN-OS 10.1 は 10.1.14-h9 以降、10.2 は 10.2.13-h3 以降、11.1 は 11.1.6-h1 以降、11.2 は 11.2.5 以降（11.2.4 は 11.2.4-h4 以降）に更新されているか確認してください。管理用の Web 画面に接続できる相手を、信頼できる社内の IP アドレスだけに制限してください。Threat Prevention の契約がある場合は、Threat ID 510000 と 510001 を有効にすると攻撃を止められます。Palo Alto Networks の公式の案内も確認してください。

やることチェックリスト

• PAN-OS を案内された修正版以降に更新する
• 管理画面への接続を社内の信頼できる IP に制限する
• Threat ID 510000 と 510001 を有効にする

用語メモ

認証

パスワードなどで、相手が本当に本人かどうかを確かめるしくみのことです。

PHP スクリプト

PHP というプログラミング言語で書かれた、Web サーバーの上で動く小さなプログラムのことです。

IP アドレス

ネットワークにつながった機器ごとに割り当てられる番号で、インターネット上の住所のようなものです。