SECURITY ADVISORY

Authentifizierter Datei-Zugriff im PAN-OS Management-Interface

Wer sich am PAN-OS-Management-Interface anmelden kann, kann beliebige vom Systemkonto „nobody" lesbare Dateien vom Firewall-Dateisystem auslesen – etwa Konfigurationen und Geheimnisse. Für sich genommen braucht es gültige Zugangsdaten; in freier Wildbahn wird die Lücke jedoch mit dem Authentifizierungs-Bypass CVE-2025-0108 verkettet, sodass ein nicht angemeldeter Angreifer aus dem Netz denselben Datei-Zugriff erhält – aktiv beobachtet seit Februar 2025.

CVE-ID

CVE-2025-0111

CVSS

7,1

Schweregrad

Hoch

Hersteller

Palo Alto Networks

Produkt

PAN-OS Management-Interface

Veröffentlicht

14.07.2026

CISA-KEV

Gelistet

Advisory als PDF herunterladen

Analyse

Warum die Lücke wirkt

Das Management-Web-Interface von PAN-OS erlaubt einem angemeldeten Nutzer, über einen extern kontrollierbaren Datei-/Pfad-Verweis (CWE-73 / CWE-610) Dateien vom lokalen Dateisystem zu lesen, die dem Dienstkonto „nobody" zugänglich sind. Dazu zählen sensible Inhalte wie Konfigurationsdateien. In den beobachteten Angriffen wird diese Lücke mit dem Authentifizierungs-Bypass CVE-2025-0108 kombiniert – die eigentlich nötige Anmeldung entfällt damit.

Angriffskette

  1. Interface exponiert – das PAN-OS-Management-Interface ist aus dem Netz erreichbar
  2. Auth-Bypass – CVE-2025-0108 umgeht die Anmeldung am Management-Interface
  3. Datei-Read (CVE-2025-0111) – vom „nobody"-Konto lesbare Dateien werden ausgelesen, z. B. Konfiguration & Geheimnisse
  4. Eskalation – verkettet mit CVE-2024-9474 bis zu Root-Rechten und vollständiger Geräteübernahme

Betroffene Versionen und Fixes

PAN-OS-ZweigVerwundbarFixversion
10.1< 10.1.14-h910.1.14-h9
10.2< 10.2.13-h3 (mehrere h-Zweige)10.2.13-h3
11.1< 11.1.6-h1 (mehrere h-Zweige)11.1.6-h1
11.2< 11.2.4-h4 / < 11.2.511.2.5
Cloud NGFW · Prisma Accessnicht betroffen

Alle nicht gepatchten PAN-OS-Versionen der genannten Zweige sind betroffen; End-of-Life-Versionen gelten als angreifbar. Exakte Build-Ranges gegen das Hersteller-Advisory des eigenen Zweigs abgleichen. Cloud NGFW und Prisma Access sind laut Hersteller nicht betroffen.

Regulatorischer Hinweis: Ein bestätigter Abfluss von Firewall-Konfiguration oder Anmeldedaten kann eine meldepflichtige Verletzung darstellen – DSGVO unverzüglich (i. d. R. 72 h), NIS-2 nach den für Sie geltenden Fristen. Die Meldung bleibt bei Ihnen; wir unterstützen bei Bewertung und Dokumentation.

Chronologie

  • 12.02.2025 – Palo Alto veröffentlicht Advisory
  • 18.02.2025 – Aktive Ausnutzung beobachtet – verkettet mit CVE-2025-0108 / CVE-2024-9474
  • 20.02.2025 – Aufnahme in den CISA-KEV-Katalog
  • 21.02.2025 – Fixversionen für 11.1 / 11.2 verfügbar
  • 06.03.2025 – Letztes Advisory-Update – EoL-Versionen als betroffen bestätigt

Maßnahmenplan

In dieser Reihenfolge – Mitigation vor Patch, Patch vor Entwarnung.

  • Sofort: Management-Zugriff einschränken
  • Kurzfristig: Patch einspielen
  • Parallel: Threat Hunting / Log-Analyse
  1. Betroffenheit feststellen
    PAN-OS-Version je Zweig prüfen und mit den Fixversionen abgleichen. Entscheidend ist zusätzlich: Ist das Management-Interface aus dem Netz oder aus nicht vertrauenswürdigen Segmenten erreichbar? Nur dann ist das Angriffsrisiko akut.
  2. Sofort mitigieren (vor dem Patch)
    Zugriff auf das Management-Interface ausschließlich auf vertrauenswürdige interne IP-Adressen beschränken – nie aus dem Internet erreichbar. Herstellerseitige Threat-Prevention-Signaturen aktivieren (Threat-IDs 510000 und 510001, Applications-and-Threats-Content v8943 oder neuer).
  3. Patchen
    Auf die Fixversion des eigenen Zweigs aktualisieren (10.1.14-h9 · 10.2.13-h3 · 11.1.6-h1 · 11.2.5). End-of-Life-Zweige (u. a. 11.0) erhalten keinen Fix – hier ist ein Upgrade auf einen unterstützten Zweig erforderlich.
  4. Kompromittierung ausschließen
    Da die Lücke mit dem Auth-Bypass CVE-2025-0108 verkettet wird, die Management-Plane-Zugriffslogs auf unerwartete Datei-Aufrufe und Zugriffe aus fremden Quellen prüfen. Ein Patch schließt die Lücke – nicht einen bereits erfolgten Zugriff.
  5. Bei Verdacht: Geheimnisse rotieren
    Wurde ein Zugriff festgestellt, gemäß Hersteller den Master-Key wechseln, Passwörter, Pre-Shared-Keys und API-Schlüssel zurücksetzen sowie ausgestellte Zertifikate widerrufen und neu ausstellen.

Kompromittierungs-Indikatoren

  • Angriffsvektor: Zugriffe auf das PAN-OS-Management-Interface mit Datei-/Pfad-Parametern, die einen Datei-Read auslösen
  • Verkettung: Anfragen ohne vorausgegangene erfolgreiche Anmeldung (Auth-Bypass CVE-2025-0108) – gefolgt von Datei-Read und ggf. CVE-2024-9474
  • Quellen: Management-Zugriffe aus nicht vertrauenswürdigen / externen IP-Bereichen

Zur Einordnung: Für diese Schwachstelle liegen keine belastbaren statischen IoCs (feste IPs/Hashes) vor – die Analyse Ihrer Management-Plane-Zugriffslogs ist maßgeblich. Angreifer nutzen das reguläre Management-Interface; auffällig sind unerwartete Datei-Aufrufe und Zugriffe aus fremden Quellen.

Wichtig: Für sich genommen erfordert die Lücke gültige Zugangsdaten – der reale Angriff umgeht diese Hürde jedoch über den Auth-Bypass CVE-2025-0108. Ein exponiertes Management-Interface ist damit auch ohne Anmeldung angreifbar; ohne Log-Auswertung bleibt ein erfolgter Datei-Zugriff unsichtbar.

Empfehlung für die Geschäftsleitung

  • Management-Interface heute vom Netz nehmen bzw. auf vertrauenswürdige IPs beschränken, Patch innerhalb von 72 Stunden einplanen.
  • Prüfen lassen, ob bereits ein Zugriff erfolgt ist – dokumentiert für eine etwaige Meldung.
  • Bei Zugriffsverdacht Geheimnisse rotieren und über dauerhafte Perimeter-Überwachung entscheiden.

Primärquellen

Palo Alto Networks Security Advisory CVE-2025-0111 · NVD (nvd.nist.gov/vuln/detail/CVE-2025-0111) · CISA Known Exploited Vulnerabilities Catalog (aufgenommen 20.02.2025, Frist 13.03.2025). Angaben nach bestem Wissen zum Stand 14.07.2026; Fixversionen und Build-Ranges gegen das Hersteller-Advisory des jeweiligen Zweigs abgleichen. Argos Security ist ISO/IEC 27001 (TÜV SÜD) zertifiziert.

So unterstützt Sie Argos Security

Für genau diese Schwachstelle ausgewählt – nicht für jede.

  • SOFORTMASSNAHME

    Kompromittierung prüfen →

    Zu dieser Schwachstelle sind Kompromittierungs-Indikatoren bekannt. Vor dem Patch gehört geprüft, ob sie bei Ihnen bereits gegriffen hat. Über den Notfallkontakt erreichen Sie uns rund um die Uhr; für Kunden mit IR-Vertrag mit Rückruf innerhalb von 30 Minuten.

  • LAUFENDE LEISTUNG

    Cyber Defense Center →

    Worauf wir im Cyber Defense Center bei dieser Schwachstelle achten: Datei-Read-Aufrufe am Management-Interface und Management-Zugriffe aus fremden Quellen. Das setzt voraus, dass die dafür nötigen Logquellen angebunden sind. Auffälligkeiten eskalieren wir rund um die Uhr.

  • PROJEKT

    Penetration Testing →

    Management-Oberflächen sind wiederkehrend betroffen. Ein Test zeigt, welche davon bei Ihnen erreichbar sind, bevor es jemand anderes herausfindet.

Unsere Leistungen ergänzen bestehende Hersteller- und Supportverträge, sie ersetzen sie nicht. Sie arbeiten bereits mit einem MDR-Anbieter? Dann holen Sie zu dieser Schwachstelle eine Zweitmeinung ein.