PAN-OS: una cadena de tres CVE y el costo de una interfaz de gestión expuesta

El 12 de febrero de 2025 Palo Alto Networks publicó los boletines de CVE-2025-0108 y CVE-2025-0111. En ambos documentos el fabricante indica que se han observado intentos de explotación en los que estos defectos se usan junto con el anterior CVE-2024-9474, publicado el 18 de noviembre de 2024. Los objetivos eran dispositivos con versiones de PAN-OS sin parchear cuya interfaz web de gestión era alcanzable desde redes no confiables. El estado del hecho importa: se trata del registro de intentos observados, no de un compromiso confirmado de nodos concretos ni de la divulgación de organizaciones afectadas.

Para el ingeniero de guardia la conclusión útil está en la mecánica del acceso, no en la cantidad de identificadores. El riesgo aparece donde se cruzan dos factores: la accesibilidad de red hasta la interfaz de gestión y la ausencia de parches. Si la interfaz no es alcanzable desde redes externas, el primer eslabón de la cadena no tiene punto de partida técnico.

Cómo funciona la cadena

Los boletines de Palo Alto Networks no contienen instrucciones paso a paso del ataque, pero sí describen con claridad qué permite cada defecto. Es la combinación de esas capacidades la que da lugar a una cadena de explotación.

Primer eslabón — CVE-2025-0108: elusión de la autenticación

CVE-2025-0108 (identificador interno del fabricante PAN-273971) es una elusión de la autenticación en la interfaz web de gestión. Según la documentación del fabricante, un usuario no autorizado con acceso de red a la interfaz puede saltarse la verificación de credenciales e invocar determinados scripts PHP. La limitación que señala el fabricante es importante: por sí sola, esta vulnerabilidad no permite la ejecución remota de código. Afecta a la confidencialidad y la integridad de los datos de PAN-OS al dar acceso a funcionalidad que debería quedar oculta a los usuarios anónimos. Convertir ese acceso en algo peligroso para el sistema exige un paso más.

Segundo eslabón — CVE-2024-9474: elevación de privilegios

CVE-2024-9474, con boletín fechado el 18 de noviembre de 2024, es una vulnerabilidad de elevación de privilegios clasificada como inyección de comandos del sistema (CWE-78). Aquí aparece un requisito estricto: la explotación necesita una cuenta de administrador de PAN-OS, de modo que el atacante ya debe disponer de acceso con privilegios de administrador a la consola de gestión. Si esa condición se cumple, se pueden ejecutar acciones a nivel de root en el firewall.

Tercer eslabón — CVE-2025-0111: lectura de archivos autenticada

CVE-2025-0111 (PAN-273994) es una lectura de archivos por parte de un usuario autenticado. Con el acceso a la interfaz web obtenido mediante el primer eslabón, un atacante puede leer archivos del sistema de archivos de PAN-OS disponibles para el usuario nobody.

La lógica de la cadena es secuencial. Primero, CVE-2025-0108 permite pasar la puerta de entrada. Después, es probable que se empleen los datos o las funciones de lectura de archivos de CVE-2025-0111 para obtener o recuperar el acceso de administrador, o para preparar el entorno. El paso final llega con CVE-2024-9474, que lleva las acciones de administrador al nivel de root. Sin una interfaz de gestión alcanzable, ninguno de estos pasos puede iniciarse desde la red externa.

Qué significa realmente una interfaz expuesta

Palo Alto Networks indica de forma explícita que el riesgo es máximo cuando el acceso a la interfaz de gestión está permitido directamente desde internet o desde otras redes no confiables. El fabricante subraya además un matiz importante: la accesibilidad pública no es el único factor técnico predisponente. El riesgo se mantiene si la interfaz es alcanzable desde una red interna que se considera confiable pero en la que puede haber equipos comprometidos.

En la práctica se ve así. Muchas organizaciones despliegan los firewalls de modo que el puerto de gestión escuche solo en el segmento interno. Ante un escaneo externo, ese nodo parece cerrado. Pero si en esa misma interfaz hay configurado un perfil de GlobalProtect, la situación cambia. El boletín señala que los portales y gateways de GlobalProtect no son vulnerables por sí mismos, salvo cuando un perfil de gestión hace que la interfaz web de gestión sea alcanzable a través de esas interfaces, habitualmente en el puerto 4443.

La dependencia de la versión

No es posible priorizar el parcheo sin conocer la versión de software actual. Las tres vulnerabilidades afectan a distintas ramas de versiones (release trains) de PAN-OS, y las versiones corregidas difieren.

CVE-2025-0108 y CVE-2025-0111: rangos de versiones afectados

• Rama 10.1: anteriores a 10.1.14-h9.
• Rama 10.2: anteriores a las versiones de mantenimiento correspondientes, incluida 10.2.13-h3.
• Rama 11.1: anteriores a las correcciones indicadas, incluida 11.1.6-h1.
• Rama 11.2: anteriores a 11.2.4-h4 o 11.2.5.

El fabricante señala además que las versiones de PAN-OS 11.0 y anteriores que han llegado a End-of-Life se consideran vulnerables y no reciben correcciones planificadas. Si quedan dispositivos así en la infraestructura, permanecen en zona de riesgo de forma indefinida.

CVE-2024-9474: versiones y productos afectados

Para CVE-2024-9474 la lista de versiones afectadas es más amplia. Están afectadas las ramas 10.1, 10.2, 11.0, 11.1 y 11.2 anteriores a las versiones corregidas de base:

• 10.1 anteriores a 10.1.14-h6.
• 10.2 anteriores a 10.2.12-h2.
• 11.0 anteriores a 11.0.6-h1.
• 11.1 anteriores a 11.1.5-h1.
• 11.2 anteriores a 11.2.4-h1.

La línea de producto cubierta incluye los firewalls de las series PA, VM y CN, los sistemas Panorama (virtual y M-Series) y los equipos WildFire. Cloud NGFW y Prisma Access no figuran en la lista de productos afectados.

Esto significa que la comprobación de la versión es el primer filtro. Si el dispositivo está actualizado a las últimas versiones estables de las ramas indicadas, esta combinación concreta de CVE queda descartada como vector de ataque. Si la versión es antigua, la pregunta se desplaza a la red: ¿desde dónde se puede llegar realmente a la interfaz de gestión?

Dónde se podía romper la cadena

Veamos el punto en el que el ataque se detendría antes de la fase de ejecución de comandos. El primer punto débil es la configuración del acceso de red. El fabricante recomienda restringir el acceso a la interfaz de gestión únicamente a direcciones IP internas de confianza, por ejemplo a través de un jump box. Eso reduce el riesgo, pero no lo elimina por completo, ya que el propio jump box puede convertirse en objetivo.

Una barrera más sólida es la ausencia total de ruta desde una zona no confiable hasta la interfaz de gestión. Si un escáner externo no obtiene respuesta en el puerto de gestión, la lógica del exploit se corta en el primer paso. Da igual lo grave que sea la vulnerabilidad de autenticación dentro del código si el paquete no llega al socket que escucha.

El segundo punto débil es la vigilancia de los cambios en el perímetro. A menudo el problema no es que alguien abriera un puerto a propósito, sino que la configuración cambió. Se añadió una interfaz nueva, se conectó un canal adicional para el personal en movilidad, se activó el modo debug. Un inventario estático hecho hace seis meses no dice nada sobre el estado actual. Hace falta un mecanismo que compruebe con regularidad qué puertos responden realmente en las direcciones IP públicas de la organización.

Si al comprobarlo resulta que el puerto de gestión (habitualmente 443, 8443 o los específicos de GlobalProtect) responde desde una dirección externa, no es necesariamente un error de la herramienta, pero sí es una desviación respecto de la arquitectura de seguridad prevista y exige un análisis inmediato. Puede que un ingeniero olvidara eliminar una regla de acceso temporal para soporte remoto. Puede que el perfil de gestión quedara asociado por accidente a una interfaz externa.

Cómo comprobar su sistema hoy mismo

No hace falta esperar a un incidente para saber si su interfaz de gestión se ve desde fuera. Los pasos siguientes se pueden ejecutar internamente o encargar al equipo que vigila el perímetro.

1. Reúna la lista de IP externas. Tome todas las direcciones públicas registradas a nombre de su organización o utilizadas por los firewalls en modo NAT.
2. Compruebe los puertos de gestión. Ejecute un escaneo activo de esas direcciones. Interesan los puertos típicos de las interfaces web de PAN-OS. El puerto HTTPS estándar se usa a menudo para gestión cuando no está separado del tráfico de usuario. Compruebe también el puerto 4443 si se emplean soluciones GlobalProtect.
3. Evalúe el resultado. Un puerto cerrado es el buen caso: aunque existan vulnerabilidades en el código, falta la ruta de red para explotarlas. Un puerto abierto que responde sitúa al dispositivo en el grupo de mayor riesgo, y conviene comprobar de inmediato la versión de PAN-OS que ejecuta.
4. Revise los perfiles de GlobalProtect. Si utiliza GlobalProtect, confirme que el perfil de gestión no está asociado a interfaces orientadas a internet. El boletín señala directamente esa configuración como fuente de riesgo.

En el tercer paso, la versión decide qué hacer a continuación:

• Si la versión coincide con la lista de versiones vulnerables anterior, hace falta una actualización urgente o aislar la interfaz de la red externa.
• Si la versión está actualizada a una edición corregida, el riesgo de esta cadena concreta es bajo, pero un puerto de gestión abierto a internet sigue siendo una mala práctica y una posible puerta para vulnerabilidades futuras.

La falta de respuesta a un escaneo no demuestra que el dispositivo sea seguro: pueden existir túneles ocultos u otros vectores. Lo que sí hace es retirar el principal factor de riesgo descrito en el contexto de estos tres CVE, y para priorizar el trabajo de parcheo ese factor es decisivo: empiece por los dispositivos que, a la vez, tienen una versión antigua y son visibles desde fuera. El resto se puede tratar dentro del ciclo normal de actualizaciones.

Esta tarea exige control periódico, no una pasada única. El perímetro cambia: aparecen nuevas sedes, cambian los proveedores, se añaden conectores en la nube. Una comprobación puntual no dice nada sobre si mañana alguien abrirá un puerto para diagnóstico y olvidará cerrarlo. La vigilancia de los cambios en la topología externa permite ver ese evento en el momento en que ocurre, y no a posteriori, cuando la cadena de tres CVE ya se ha convertido en una amenaza real para un equipo concreto.

Fuentes

• Boletín de Palo Alto Networks, CVE-2025-0108
• Boletín de Palo Alto Networks, CVE-2025-0111
• Boletín de Palo Alto Networks, CVE-2024-9474