Palo Alto Networks PAN-OS 命令行界面 (CLI) 中存在一个不当中和匹配符号的漏洞，该漏洞允许经过身份验证的管理员（包括只读管理员）在拥有 CLI 访问权限的情况下读取防火墙上的任意文件。

😔 **漏洞描述:** 该漏洞存在于 Palo Alto Networks PAN-OS 命令行界面 (CLI) 中，由于对匹配符号的处理不当，导致经过身份验证的管理员（包括只读管理员）可以通过 CLI 读取防火墙上的任意文件。

😔 **受影响的版本:** 该漏洞影响所有低于 PAN-OS 9.1.15、PAN-OS 10.0.10、PAN-OS 10.1.1 的版本，以及所有版本的 PAN-OS 11.x 和 PAN-OS 11.2。

😔 **解决方案:** Palo Alto Networks 已在 PAN-OS 9.1.15、PAN-OS 10.0.10、PAN-OS 10.1.1 及更高版本中修复了该漏洞。建议所有用户尽快升级到最新版本的 PAN-OS。

😔 **建议:** 除了升级到最新版本外，还建议用户采取以下措施来降低风险：

😔 **风险:** 该漏洞可能被攻击者利用来读取敏感信息，例如配置文件、日志文件和密码。

😔 **漏洞类型:** 该漏洞被归类为 CWE-155：不当中和通配符或匹配符号。

😔 **时间线:** 该漏洞于 2024 年 9 月 11 日首次公开发布。

😔 **致谢:** Palo Alto Networks 感谢 Deloitte 的 Matei "Mal" Badanoiu 发现并报告了该漏洞。

Palo Alto Networks Security Advisories /CVE-2024-8688CVE-2024-8688 PAN-OS: Arbitrary File Read Vulnerability in the Command Line Interface (CLI)UrgencyMODERATEResponse EffortMODERATERecoveryUSERValue DensityCONCENTRATEDAttack VectorLOCALAttack ComplexityLOWAttack RequirementsNONEAutomatableNOUser InteractionNONEProduct ConfidentialityHIGHProduct IntegrityNONEProduct AvailabilityNONEPrivileges RequiredHIGHSubsequent ConfidentialityNONESubsequent IntegrityNONESubsequent AvailabilityNONENVDJSON Published2024-09-11 Updated2024-09-11ReferencePAN-151792 andPAN-82874DiscoveredexternallyDescriptionAn improper neutralization of matching symbols vulnerability in the Palo Alto Networks PAN-OS command line interface (CLI) enables authenticated administrators (including read-only administrators) with access to the CLI to to read arbitrary files on the firewall.Product StatusVersionsAffectedUnaffectedCloud NGFW NoneAllPAN-OS 11.2NoneAllPAN-OS 11.1NoneAllPAN-OS 11.0NoneAllPAN-OS 10.2NoneAllPAN-OS 10.1< 10.1.1>= 10.1.1PAN-OS 10.0< 10.0.10>= 10.0.10PAN-OS 9.1< 9.1.15>= 9.1.15Prisma Access NoneAllSeverity:MEDIUMCVSSv4.0Base Score:6.7 (CVSS:4.0/AV:L/AC:L/AT:N/PR:H/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N/AU:N/R:U/V:C/RE:M/U:Amber)Exploitation StatusPalo Alto Networks is not aware of any malicious exploitation of this issue.Weakness TypeCWE-155 Improper Neutralization of Wildcards or Matching SymbolsSolutionThis issue is fixed in PAN-OS 9.1.15, PAN-OS 10.0.10, PAN-OS 10.1.1, and all later PAN-OS versions.AcknowledgmentsPalo Alto Networks thanks Matei "Mal" Badanoiu of Deloitte for discovering and reporting this issue.Timeline2024-09-11Initial publication