Zero-Day-Schwachstelle in PAN-OS: Authentifizierungsumgehung durch Path Confusion

Ein Sicherheitsforscherteam von Assetnote hat eine kritische Schwachstelle in der PAN-OS Management-Schnittstelle von Palo Alto Networks entdeckt, die es Angreifern ermöglicht, die Authentifizierung zu umgehen (CVE-2025-0108). Der Fehler beruht auf einer Pfadverwirrung zwischen Nginx und Apache, bei der die unterschiedlich interpretierte URL zu einem Authentifizierungsfehler führt. Konkret wird ein Header, der in Nginx korrekt gesetzt wird, durch die doppelte URL-Dekodierung in Apache manipuliert, sodass schlussendlich der Schutzmechanismus aufgehoben wird und sensible administrative Funktionen ohne Login aufgerufen werden können.

Die betroffene Architektur, die aus einem Nginx-Reverse-Proxy, Apache und einer PHP-Anwendung besteht, zeigt typische Schwächen bei der Übergabe von Authentifizierungsinformationen. Durch gezielte Manipulation des Request-Pfads kann ein Angreifer über die Management-Schnittstelle Zugriff erhalten, ohne sich authentifizieren zu müssen.

Palo Alto Networks hat bereits Maßnahmen zur Behebung dieser Schwachstelle implementiert und empfiehlt zusätzlich, den Zugang zur Management-Oberfläche durch IP-Whitelisting zu sichern, um das Risiko weiterer Exploits zu minimieren.