PAN-OS: Authenticated File Read Vulnerability in the Management Web Interface

Vulnerabilidade de leitura arbitrária de arquivos na interface web de administração do PAN-OS, explorável por um atacante já autenticado com acesso de rede a essa interface. O impacto real é limitado a arquivos legíveis pelo usuário de baixo privilégio "nobody", mas ganhou relevância prática porque foi usada em campanhas reais encadeada com uma falha de bypass de autenticação (CVE-2025-0108) e uma de injeção de comando (CVE-2024-9474), formando uma cadeia que resulta em comprometimento total do equipamento.

A falha é classificada como CWE-73 (External Control of File Name or Path): algum componente da interface de gerenciamento do PAN-OS aceita um caminho ou nome de arquivo controlado pelo usuário sem sanitização suficiente, permitindo que a requisição autenticada leia arquivos do sistema de arquivos do PAN-OS fora do escopo pretendido pela função. O atacante controla o caminho do arquivo solicitado; a leitura fica restrita ao que o processo web, executando como usuário "nobody", tem permissão de acessar — ou seja, não é um path traversal com escalonamento de privilégio embutido, mas sim um acesso indevido dentro do escopo de permissões desse usuário de baixo privilégio.

O vetor exige PR:L (privilégio baixo) segundo o CVSS 4.0 do próprio fornecedor, confirmando que é preciso estar autenticado na interface de management, ainda que com uma conta de privilégio mínimo. Não há necessidade de interação do usuário nem de condições de ataque adicionais (AT:N), e a complexidade de ataque é baixa (AC:L) uma vez que as pré-condições — rede e autenticação — estejam satisfeitas.

O isolamento do risco depende inteiramente de onde a interface de gerenciamento está exposta: GlobalProtect portals e gateways não são vulneráveis por si, mas se um perfil de management for aplicado a uma interface de dataplane que hospeda GlobalProtect, essa interface passa a expor a superfície vulnerável, tipicamente na porta 4443.

Cloud NGFW e Prisma Access não são afetados — a falha é específica do software PAN-OS rodando em firewall gerenciado localmente.

Exploração real observada pela Palo Alto Networks não usa esta CVE isoladamente: os ataques encadeiam CVE-2025-0108 (bypass de autenticação na interface de management) com CVE-2024-9474 (injeção de comando) e então esta CVE-2025-0111, formando uma cadeia que transforma um acesso não autenticado em execução completa no dispositivo. Isso significa que, na prática, a pré-condição "autenticado" descrita na CVE pode ser suprida por outra vulnerabilidade encadeada, não necessariamente por credenciais roubadas — o que eleva o risco real para quem tem a interface de management exposta na internet, mesmo sem senhas comprometidas.

O pré-requisito mais determinante não é a autenticação em si, mas a exposição de rede: firewalls com a interface web de management acessível diretamente da internet, ou acessível através de uma interface de dataplane com perfil de management associado, são os únicos alvos viáveis. Ambientes que seguem a prática recomendada de restringir a interface a IPs internos confiáveis (ex.: jump box) reduzem drasticamente a superfície, mesmo estando em versão vulnerável.

O resultado final da exploração isolada desta CVE é leitura de arquivos legíveis pelo usuário "nobody" no sistema de arquivos do PAN-OS — útil para reconhecimento, extração de configurações ou dados que auxiliem passos subsequentes de uma cadeia de ataque, mas não, por si só, execução de código ou controle total do dispositivo.

A correção definitiva é atualizar para as versões corrigidas (hotfixes por branch, listadas abaixo). Não há indicação de que atualizar apenas a versão minor sem aplicar o hotfix específico resolva o problema — os fixes foram distribuídos como builds -hN dentro de cada branch suportado.

Se a atualização imediata não for viável, o paliativo real e recomendado pelo próprio fornecedor é restringir o acesso à interface web de management exclusivamente a endereços IP internos confiáveis (idealmente via jump box dedicado), removendo qualquer exposição direta à internet ou a redes não confiáveis, e evitando associar perfis de management a interfaces de dataplane que hospedem GlobalProtect. Esse controle não elimina a vulnerabilidade no código, mas fecha o vetor de rede necessário para explorá-la — custo operacional baixo, mas exige revisão de topologia e de regras de acesso administrativo. Clientes com assinatura Threat Prevention podem habilitar as Threat IDs 510000 e 510001 (a partir do conteúdo de Applications and Threats versão 8943) para bloquear tentativas de exploração conhecidas.

Versões PAN-OS 11.0, 10.0, 9.1, 9.0 e anteriores estão em fim de vida (EoL) e não recebem correção — são presumidas vulneráveis e a única mitigação possível nesses casos é a segmentação de rede descrita acima ou a migração para uma versão suportada. Restringir acesso não é substituto permanente para o patch: reduz drasticamente o risco, mas a falha em si permanece presente no binário até a atualização.

O advisory do fornecedor não detalha assinaturas de log específicas para esta CVE isoladamente; a orientação prática é usar a seção Assets do Customer Support Portal para verificar dispositivos marcados com a tag 'PAN-SA-2024-0015' com timestamp recente, indicando que a interface de management foi encontrada exposta à internet em varreduras do próprio fornecedor. Para bloqueio de tentativas conhecidas, clientes com Threat Prevention podem monitorar disparos das Threat IDs 510000 e 510001. Como a exploração observada em campo ocorre encadeada com CVE-2025-0108 e CVE-2024-9474, sinais de comprometimento devem ser buscados considerando toda a cadeia — acessos anômalos à interface de management seguidos de execução de comando — e não apenas leitura de arquivo isolada, que por si só deixa rastro limitado nos logs padrão.