Vulnerabilidad crítica de denegación de servicio en PAN-OS (CVE-2025-0128)
Una vulnerabilidad grave de denegación de servicio (DoS), identificada como CVE-2025-0128, ha sido descubierta en múltiples versiones del sistema operativo PAN-OS, utilizado en los firewalls de Palo Alto Networks. Este fallo podría permitir a atacantes remotos interrumpir servicios críticos al explotar una condición no manejada correctamente en el procesamiento de paquetes de red.
Detalles técnicos de la vulnerabilidad
CVE-2025-0128 es una vulnerabilidad de tipo DoS que afecta al núcleo de PAN-OS. Se origina en un error de manejo de memoria durante el procesamiento de tráfico de red específicamente diseñado, lo que provoca un consumo excesivo de recursos del sistema. Los ataques exitosos pueden resultar en:
- Reinicios inesperados del dispositivo firewall
- Degradación severa del rendimiento
- Interrupción completa del servicio de filtrado de tráfico
Versiones afectadas
Las versiones vulnerables incluyen:
- PAN-OS 10.2 (todas las subversiones anteriores a 10.2.8)
- PAN-OS 11.0 (todas las subversiones anteriores a 11.0.4)
- PAN-OS 11.1 (todas las subversiones anteriores a 11.1.2)
Mecanismo de explotación
El ataque se ejecuta enviando paquetes de red especialmente manipulados a interfaces de gestión o tráfico de datos del firewall. Estos paquetes activan una condición de carrera en el subsistema de procesamiento de paquetes, causando una fuga de memoria que eventualmente colapsa el servicio.
Mitigaciones y soluciones
Palo Alto Networks ha emitido parches para todas las versiones afectadas. Las acciones recomendadas son:
- Aplicar inmediatamente las actualizaciones correspondientes:
- PAN-OS 10.2.8
- PAN-OS 11.0.4
- PAN-OS 11.1.2
- Implementar reglas temporales de Threat Prevention para bloquear patrones de tráfico sospechosos
- Restringir el acceso a las interfaces de gestión solo a redes confiables
Impacto potencial
Esta vulnerabilidad representa un riesgo significativo debido a:
- La ubicuidad de los dispositivos Palo Alto en entornos empresariales críticos
- La posibilidad de explotación remota sin autenticación
- El efecto cascada que puede tener en sistemas dependientes
Organizaciones deben priorizar la aplicación de estos parches, particularmente aquellas con firewalls expuestos a Internet o que protegen infraestructura crítica.
Para más detalles técnicos sobre esta vulnerabilidad, consulte la Fuente original.
