Wer sich am PAN-OS-Management-Interface anmelden kann, kann beliebige vom Systemkonto „nobody" lesbare Dateien vom Firewall-Dateisystem auslesen – etwa Konfigurationen und Geheimnisse. Für sich genommen braucht es gültige Zugangsdaten; in freier Wildbahn wird die Lücke jedoch mit dem Authentifizierungs-Bypass CVE-2025-0108 verkettet, sodass ein nicht angemeldeter Angreifer aus dem Netz denselben Datei-Zugriff erhält – aktiv beobachtet seit Februar 2025.
Advisory als PDF herunterladenDas Management-Web-Interface von PAN-OS erlaubt einem angemeldeten Nutzer, über einen extern kontrollierbaren Datei-/Pfad-Verweis (CWE-73 / CWE-610) Dateien vom lokalen Dateisystem zu lesen, die dem Dienstkonto „nobody" zugänglich sind. Dazu zählen sensible Inhalte wie Konfigurationsdateien. In den beobachteten Angriffen wird diese Lücke mit dem Authentifizierungs-Bypass CVE-2025-0108 kombiniert – die eigentlich nötige Anmeldung entfällt damit.
| PAN-OS-Zweig | Verwundbar | Fixversion |
|---|---|---|
| 10.1 | < 10.1.14-h9 | 10.1.14-h9 |
| 10.2 | < 10.2.13-h3 (mehrere h-Zweige) | 10.2.13-h3 |
| 11.1 | < 11.1.6-h1 (mehrere h-Zweige) | 11.1.6-h1 |
| 11.2 | < 11.2.4-h4 / < 11.2.5 | 11.2.5 |
| Cloud NGFW · Prisma Access | nicht betroffen | — |
Alle nicht gepatchten PAN-OS-Versionen der genannten Zweige sind betroffen; End-of-Life-Versionen gelten als angreifbar. Exakte Build-Ranges gegen das Hersteller-Advisory des eigenen Zweigs abgleichen. Cloud NGFW und Prisma Access sind laut Hersteller nicht betroffen.
Regulatorischer Hinweis: Ein bestätigter Abfluss von Firewall-Konfiguration oder Anmeldedaten kann eine meldepflichtige Verletzung darstellen – DSGVO unverzüglich (i. d. R. 72 h), NIS-2 nach den für Sie geltenden Fristen. Die Meldung bleibt bei Ihnen; wir unterstützen bei Bewertung und Dokumentation.
In dieser Reihenfolge – Mitigation vor Patch, Patch vor Entwarnung.
510000 und 510001, Applications-and-Threats-Content v8943 oder neuer).10.1.14-h9 · 10.2.13-h3 · 11.1.6-h1 · 11.2.5). End-of-Life-Zweige (u. a. 11.0) erhalten keinen Fix – hier ist ein Upgrade auf einen unterstützten Zweig erforderlich.PAN-OS-Management-Interface mit Datei-/Pfad-Parametern, die einen Datei-Read auslösenCVE-2025-0108) – gefolgt von Datei-Read und ggf. CVE-2024-9474nicht vertrauenswürdigen / externen IP-BereichenZur Einordnung: Für diese Schwachstelle liegen keine belastbaren statischen IoCs (feste IPs/Hashes) vor – die Analyse Ihrer Management-Plane-Zugriffslogs ist maßgeblich. Angreifer nutzen das reguläre Management-Interface; auffällig sind unerwartete Datei-Aufrufe und Zugriffe aus fremden Quellen.
Wichtig: Für sich genommen erfordert die Lücke gültige Zugangsdaten – der reale Angriff umgeht diese Hürde jedoch über den Auth-Bypass CVE-2025-0108. Ein exponiertes Management-Interface ist damit auch ohne Anmeldung angreifbar; ohne Log-Auswertung bleibt ein erfolgter Datei-Zugriff unsichtbar.
Palo Alto Networks Security Advisory CVE-2025-0111 · NVD (nvd.nist.gov/vuln/detail/CVE-2025-0111) · CISA Known Exploited Vulnerabilities Catalog (aufgenommen 20.02.2025, Frist 13.03.2025). Angaben nach bestem Wissen zum Stand 14.07.2026; Fixversionen und Build-Ranges gegen das Hersteller-Advisory des jeweiligen Zweigs abgleichen. Argos Security ist ISO/IEC 27001 (TÜV SÜD) zertifiziert.
Für genau diese Schwachstelle ausgewählt – nicht für jede.
SOFORTMASSNAHME
Zu dieser Schwachstelle sind Kompromittierungs-Indikatoren bekannt. Vor dem Patch gehört geprüft, ob sie bei Ihnen bereits gegriffen hat. Über den Notfallkontakt erreichen Sie uns rund um die Uhr; für Kunden mit IR-Vertrag mit Rückruf innerhalb von 30 Minuten.
LAUFENDE LEISTUNG
Worauf wir im Cyber Defense Center bei dieser Schwachstelle achten: Datei-Read-Aufrufe am Management-Interface und Management-Zugriffe aus fremden Quellen. Das setzt voraus, dass die dafür nötigen Logquellen angebunden sind. Auffälligkeiten eskalieren wir rund um die Uhr.
PROJEKT
Management-Oberflächen sind wiederkehrend betroffen. Ein Test zeigt, welche davon bei Ihnen erreichbar sind, bevor es jemand anderes herausfindet.
Unsere Leistungen ergänzen bestehende Hersteller- und Supportverträge, sie ersetzen sie nicht. Sie arbeiten bereits mit einem MDR-Anbieter? Dann holen Sie zu dieser Schwachstelle eine Zweitmeinung ein.