Palo Alto Networks memperingatkan bahwa kerentanan file yang dibaca (CVE-2025-0111) sekarang dirantai dalam serangan dengan dua kelemahan lainnya (CVE-2025-0108 dengan CVE-2024-9474) untuk melanggar firewall Pan-OS dalam serangan aktif.
Vendor pertama kali mengungkapkan kerentanan bypass otentikasi yang dilacak sebagai CVE-2025-0108 pada 12 Februari 2025, melepaskan tambalan untuk memperbaiki kerentanan. Pada hari yang sama, peneliti asetnote menerbitkan eksploitasi bukti konsep Mendemonstrasikan bagaimana CVE-2025-0108 dan CVE-2024-9474 dapat dirantai bersama untuk mendapatkan hak akar pada firewall Pan-OS yang tidak ditandingi.
Sehari kemudian, firma ancaman jaringan Intel Greynoise melaporkan bahwa aktor ancaman telah mulai secara aktif mengeksploitasi kekurangannyadengan upaya yang berasal dari dua alamat IP.
CVE-2024-9474 adalah cacat eskalasi hak istimewa pada PAN-OS yang ditetapkan pada November 2024 yang memungkinkan administrator PAN-OS untuk melaksanakan perintah pada firewall dengan hak istimewa root. Jaringan Palo Alto memperingatkan pada pengungkapan bahwa kerentanan itu dieksploitasi sebagai zero-hari.
CVE-2025-0111 adalah kerentanan bacaan file dalam PAN-OS, memungkinkan penyerang yang diautentikasi dengan akses jaringan ke antarmuka web manajemen untuk membaca file yang dapat dibaca oleh pengguna “Nobody”.
Cacat CVE-2025-0111 juga diperbaiki pada 12 Februari 2025tetapi vendor memperbarui buletin hari ini untuk memperingatkan bahwa sekarang juga digunakan dalam rantai eksploitasi dengan dua kerentanan lainnya dalam serangan aktif.
“Palo Alto Networks telah mengamati upaya eksploit eksploitasi merantai CVE-2025-0108 dengan CVE-2024-9474 dan CVE-2025-0111 pada antarmuka manajemen web PAN-OS yang tidak tertandingi dan tidak aman,” membaca buletin yang diperbarui.
Sementara Palo Alto Networks belum berbagi bagaimana rantai eksploitasi disalahgunakan, BleepingComputer telah diberitahu bahwa mereka dapat dirantai bersama untuk mengunduh file konfigurasi dan informasi sensitif lainnya.
Aktivitas eksploitasi meningkat
Lingkup tidak hanya meluas, tetapi pembaruan pada buletin Greynoise menunjukkan bahwa aktivitas eksploitasi juga meningkatkan kecepatan.
Greynoise melaporkan sekarang Melihat 25 alamat IP yang menargetkan CVE-2025-0108sedangkan laporan awalnya dari 13 Februari hanya mencatat dua.
Sumber -sumber teratas dari serangan itu adalah Amerika Serikat, Jerman, dan Belanda, meskipun ini tidak berarti para penyerang sebenarnya berbasis di lokasi -lokasi tersebut.
Peneliti Macnica Yutaka Sejiyama mengatakan kepada BleepingComputer itu Pemindaiannya mengembalikan ribuan perangkat Pan-OS Itu mengekspos antarmuka manajemen web mereka ke internet.
“Untuk CVE-2025-0108 yang baru ditambal dan CVE-2025-0111, mayoritas server yang secara terbuka mengekspos antarmuka manajemen web mereka masih belum ditandingi,” kata Sejiyama kepada BleepingComputer.
“Dari 3.490 server yang menghadap ke internet, hanya beberapa lusin yang menerapkan tambalan.”
Dari perangkat yang terbuka ini, 1.168 belum menambal CVE-2025-0108 dan CVE-2025-0111 tetapi telah menambal CVE-2024-9474.
Peneliti mengatakan bahwa ketika mempertimbangkan ketiga kelemahan yang dirantai dalam serangan itu, 65% (2.262 perangkat) tetap rentan terhadap setidaknya satu dari mereka.
Sumber: Sejiyama
Di tengah situasi ini dan eksploitasi aktif, Badan Keamanan Cybersecurity & Infrastruktur AS (CISA) telah Menambahkan CVE-2025-0108 ke katalog ‘kerentanan yang diketahui dieksploitasi’ (KEV).
Organisasi telah memberikan agen federal hingga 11 Maret 2025, untuk menerapkan pembaruan/mitigasi yang tersedia atau berhenti menggunakan produk.
