Palo Alto tarmoqlarida jiddiy zaiflik: zararli paket orqali xavfsizlik devorini masofadan qayta ishga tushirish mumkin
Palo Alto Networks kompaniyasi o‘zining PAN-OS xavfsizlik devori (firewall) dasturiy ta’minotida aniqlangan jiddiy xizmatdan voz kechish (Denial-of-Service, DoS) turidagi zaiflik haqida ogohlantirdi. Mazkur kamchilik tajovuzkorlarga autentifikatsiyasiz — ya’ni tizimga kirish ma’lumotlarisiz — maxsus zararli tarmoq paketi yuborish orqali xavfsizlik devorini masofadan qayta ishga tushirish imkonini beradi.
Zaiflik CVE-2025-4619 identifikatori ostida qayd etilgan bo‘lib, CWE-754: “Noodatiy yoki istisno holatlarni noto‘g‘ri tekshirish” nomli zaiflik turiga kiradi. Ushbu kamchilik PAN-OS dataplane qismida joylashgan. Tajovuzkor tomonidan yuborilgan maxsus paket firewall’ni kutilmagan tarzda qayta yuklanishga majbur qiladi. Eng xavfli jihati — hujum ketma-ket takrorlansa, qurilma “maintenance mode” holatiga o‘tib, tarmoq faoliyatining to‘xtab qolishiga olib kelishi mumkin.
Zaiflikning texnik tavsifi:
- CVE ID: CVE-2025-4619
- Zaiflik turi: Denial of Service (DoS)
- Zaiflik sababi: Noodatiy holatlarni noto‘g‘ri qayta ishlash (CWE-754)
- CVSS 4.0 bahosi: 6.6 (o‘rta xavf), biznes ta’sir darajasi — 8.7 (yuqori)
- Taqdim etilgan havola: PAN-247099
Ta’sir doirasi:
Zaiflik PA-Series, VM-Series, va Prisma Access platformalarida aniqlangan. Quyidagi versiyalar ta’sir ostida:
- PAN-OS 10.2 — 10.2.13 gacha bo‘lgan versiyalar;
- PAN-OS 11.1 — 11.1.6 gacha;
- PAN-OS 11.2 — 11.2.4 gacha.
PAN-OS 10.1 va 12.1 versiyalari ta’sirlanmagan.
Shuningdek, bu zaiflik URL proxy yoki decrypt policy yoqilgan holatdagina faollashadi. Hatto “no-decrypt” siyosati mavjud bo‘lsa ham, ayrim holatlarda ekspluatatsiya ehtimoli saqlanib qoladi.
Tavsiya etilgan yangilanishlar:
- PAN-OS 11.2 uchun — 11.2.5 va undan keyingi versiyalar;
- PAN-OS 11.1 uchun — 11.1.7;
- PAN-OS 10.2 uchun — 10.2.14.
Kompaniya hozircha hech qanday aktiv ekspluatatsiya holatini qayd etmagan, biroq zaiflikning foydalanish osonligi va tarmoq faoliyatiga jiddiy ta’siri sababli, tizim administratorlariga zudlik bilan yangilanishni amalga oshirish qat’iyan tavsiya etilmoqda.
Mazkur hodisa yana bir bor tarmoq xavfsizligi tizimlarining o‘z vaqtida yangilanib turishi naqadar muhimligini isbotlaydi. PAN-OS kabi infratuzilma darajasida ishlovchi platformalarda birgina zaiflik butun tarmoqni falaj holatga keltirishi mumkin. Shu bois, har bir tashkilot:
- xavfsizlik devorlarini muntazam yangilab borishi,
- konfiguratsiyalarni tekshirib turishi,
- tarmoq monitoringini real vaqt rejimida olib borishi zarur.
Palo Alto Networks mutaxassislari ma’lumotiga ko‘ra, ushbu zaiflikni bartaraf etish uchun eng to‘g‘ri yechim — tezkor yangilanish va profilaktik xavfsizlik siyosatlarini kuchaytirishdir. Shu orqali tashkilotlar o‘z tarmoqlarini potentsial DoS hujumlaridan ishonchli himoya qila oladilar.
