谷歌的 Project Zero 和 Mandiant 網(wǎng)絡(luò)安全團(tuán)隊(duì)近日聯(lián)合發(fā)布了針對 Palo Alto Networks PAN-OS OpenConfig 插件中的一個(gè)高嚴(yán)重性命令注入漏洞（CVE-2025-0110）的概念驗(yàn)證（PoC）代碼。該漏洞經(jīng)身份驗(yàn)證的管理員能夠通過偽造的 gNMI 請求在防火墻上執(zhí)行任意命令，并提升權(quán)限至 root 訪問級別。
這一披露緊隨 Palo Alto Networks 在 2025 年 2 月發(fā)布的補(bǔ)丁，進(jìn)一步凸顯了關(guān)鍵基礎(chǔ)設(shè)施中防火墻漏洞利用鏈的日益嚴(yán)峻問題。
漏洞詳情與攻擊方式
CVE-2025-0110 存在于 PAN-OS OpenConfig 插件中，該插件通過 gNMI 協(xié)議實(shí)現(xiàn)網(wǎng)絡(luò)設(shè)備配置。攻擊者可通過在系統(tǒng)日志檢索期間向 XPATH 查詢的type參數(shù)中注入惡意命令來繞過安全限制。例如，PoC 代碼展示了如何在查詢中嵌入$(echo system > file1; cat file1)來執(zhí)行 Bash 命令。
一旦利用成功，攻擊者將能夠重新配置防火墻、竊取敏感數(shù)據(jù)，甚至可以部署持久性后門，例如之前在 PAN-OS 攻擊活動中出現(xiàn)的 UPSTYLE 惡意軟件。
漏洞組合利用的風(fēng)險(xiǎn)
盡管 CVE-2025-0110 需要身份驗(yàn)證，但谷歌研究人員強(qiáng)調(diào)，當(dāng)它與本月初已修復(fù)的身份驗(yàn)證繞過漏洞 CVE-2025-0108 結(jié)合使用時(shí)，其危險(xiǎn)性將大幅提升。威脅行為者可通過以下步驟組合利用這兩個(gè)漏洞：
- 利用 CVE-2025-0108 的 PHP 腳本漏洞繞過登錄控制。
- 通過 CVE-2025-0110 提升權(quán)限至 root 訪問。
部署勒索軟件或間諜工具，例如在 2024 年 11 月利用 CVE-2024-9474 發(fā)動的攻擊中所見。
Palo Alto Networks 已確認(rèn)這一組合攻擊向量的活躍利用，GreyNoise 觀察到有 26 個(gè)惡意 IP 針對暴露的管理界面發(fā)起攻擊。
修復(fù)建議與安全措施
Palo Alto Networks 已于 2025 年 2 月 12 日發(fā)布修復(fù)版本的 OpenConfig 插件（≥2.1.2），并敦促客戶采取以下措施：
- 立即安裝補(bǔ)?。ㄈ?PAN-OS 11.2.4-h4、11.1.6-h1 等）。
- 限制管理界面訪問，僅允許受信任的 IP 地址接入。
- 如果未使用 OpenConfig 插件，建議將其禁用。
谷歌的披露遵循其 90 天漏洞披露政策，并指出在發(fā)布前補(bǔ)丁已可用。然而，Shadowserver Foundation 報(bào)告稱，截至 2025 年 2 月 21 日，仍有超過 3500 個(gè)暴露在互聯(lián)網(wǎng)上的 PAN-OS 界面未得到保護(hù)。
為應(yīng)對這一威脅，安全管理團(tuán)隊(duì)?wèi)?yīng)采取以下措施：
- 優(yōu)先打補(bǔ)丁：立即安裝 PAN-OS 更新，尤其是對具有公共管理界面的防火墻。
- 網(wǎng)絡(luò)隔離：實(shí)施零信任策略，隔離防火墻管理平面。
- 威脅狩獵：監(jiān)控異常的 gNMI 請求或意外的 cron 任務(wù)創(chuàng)建，這些都是 UPSTYLE 后門活動的典型跡象。
通過上述措施，企業(yè)可以有效降低漏洞被利用的風(fēng)險(xiǎn)，保護(hù)其網(wǎng)絡(luò)基礎(chǔ)設(shè)施的安全。