CVE 데이터베이스CVE-2025-0108

최종 갱신 2026-09-24English Advisory →

CVE-2025-01089.1/CRITICALCISA KEV 등재CWE-306CWE-306

Palo Alto Networks PAN-OS 관리 웹 인터페이스 인증 우회 취약점 (CVE-2025-0108) 긴급 보안 권고

⚡ 패치 명령어 바로가기

영향받는 벤더 / 생태계

paloaltonetworks

대상 컴포넌트 / 패키지

pan-os

권고문 발행일

2025-02-12

CVSS v3.1

9.1

CRITICAL

30일 악용확률

98.5%

FIRST.org

CISA KEV

악용 확인됨

NVD 원문 ↗

실무자 핵심 요약 (Executive Summary)

SECOPS ASSESSMENT

영향 대상

Palo Alto Networks PAN-OS 소프트웨어의 관리 웹 인터페이스 (Cloud NGFW 및 Prisma Access 제외)

파급 효과

인증되지 않은 원격 공격자가 관리 인터페이스에 접근하여 인증을 우회하고 특정 PHP 스크립트를 실행하여 시스템의 기밀성과 무결성을 심각하게 침해할 수 있음

권장 조치

취약점이 해결된 최신 PAN-OS 버전으로 즉시 업그레이드하고, 관리 인터페이스에 대한 외부 접근을 차단하는 방화벽 정책을 적용하십시오

영향받는 제품 및 버전 범위

Palo Alto Networks PAN-OS 소프트웨어 전체 버전 중 관리 웹 인터페이스가 활성화된 시스템 (Cloud NGFW 및 Prisma Access는 영향받지 않음)

권장 패치 및 임시 완화(Workaround) 가이드

패치 및 우회 명령어

1. 공식 보안 패치 및 버전 업그레이드 명령어

Palo Alto Networks에서 제공하는 공식 패치 버전으로 PAN-OS를 즉시 업그레이드하십시오. CLI를 통한 업그레이드 절차는 다음과 같습니다.

bash

# 최신 소프트웨어 정보 및 사용 가능한 이미지 목록 업데이트
request system software info

# 취약점이 해결된 대상 PAN-OS 버전 다운로드 (예: 10.1.x, 11.x 패치 버전)
request system software download version <target_safe_version>

# 다운로드 완료 후 패치 설치 실행
request system software install version <target_safe_version>

# 설치 완료 후 시스템 재부팅을 통한 패치 적용
request restart system

2. 패치 전 임시 완화(Workaround) 및 접근 제어 설정

즉각적인 패치가 어려운 경우, 관리 웹 인터페이스에 대한 접근을 신뢰할 수 있는 내부 IP 대역(Bastion Host, 관리용 VPN 등)으로만 제한해야 합니다.

bash

# PAN-OS CLI에 접속하여 관리 인터페이스 허용 IP 대역(MGT IP Address ACL) 설정
configure

# 특정 신뢰할 수 있는 관리자 IP 대역만 허용하도록 설정 (예: 192.168.10.0/24)
set deviceconfig system permitted-ip 192.168.10.0/24

# 변경 사항 저장 및 적용
commit
exit

3. 침해 흔적(IoC) 및 로그·버전 점검 스크립트

웹 서버 로그에서 비정상적인 경로 접근 시도나 인증 우회 패턴을 탐지하기 위해 아래의 CLI 명령어를 사용하여 로그를 점검하십시오.

bash

# 관리 인터페이스 웹 서버 로그(httpd_access.log)에서 비정상적인 PHP 스크립트 직접 호출 및 경로 혼동 패턴 검색
show log system direction equal backward | match '(?i)(/php/|\.php)'

# 현재 구동 중인 PAN-OS 버전이 취약한 버전인지 확인
show system info | match 'sw-version'

실무자 패치 대응 자가 점검 체크리스트

0/4 (0%)

권장 아키텍처 방어 통제 (Recommended Security Control)

NordLayer / Zero-Trust Network Access

CISA KEV에 등재되어 실제 공격에 악용 중인 취약점이므로, 즉시 PAN-OS 패치를 적용하거나 관리 인터페이스 접근 제어(ACL)를 강화하십시오.

반복되는 SSL-VPN 및 방화벽 Zero-Day 해킹, 이제 외부 포트를 닫고 ZTNA로 전환할 때입니다

공인 IP에 노출된 VPN 장비와 관리 콘솔은 랜섬웨어 그룹의 1순위 타겟입니다. 네트워크 포트 노출 없이 신원 기반으로 안전하게 사내 인프라에 접속하세요.

공격 표면(Attack Surface) 90% 감소 · 10분 배포

기업용 제로트러스트 네트워크 데모 및 견적 보기

취약점 발생 원리 및 공격 메커니즘

1. 취약점 개요 및 발생 원인 (Root Cause)

본 취약점(CVE-2025-0108)은 Palo Alto Networks PAN-OS의 관리 웹 인터페이스에서 발생하는 인증 우회 취약점입니다. 이 취약점은 Nginx 리버스 프록시와 백엔드 Apache/PHP 웹 서버 간의 URI 경로 해석 차이(Path Confusion)로 인해 발생합니다. 적절한 인증 검증 없이 특정 PHP 스크립트에 직접 접근할 수 있도록 허용하는 설계상 결함(CWE-306)이 근본적인 원인입니다.

2. 공격 메커니즘 및 익스플로잇 시나리오

공격자는 관리 웹 인터페이스(Management Web Interface)에 네트워크 접근이 가능한 상태에서, Nginx와 Apache 간의 경로 처리 불일치를 유발하는 특수하게 조작된 HTTP 요청을 전송합니다. Nginx 프록시 레이어는 해당 요청을 인증이 필요 없는 정적 자원이나 공개 경로로 오인하여 통과시키지만, 백엔드 PHP 엔진은 이를 내부 관리용 PHP 스크립트로 해석하여 실행하게 됩니다. 이를 통해 공격자는 유효한 세션 자격 증명 없이도 내부 API 및 관리 스크립트를 호출할 수 있습니다.

3. 비즈니스 및 인프라 파급 영향

본 취약점은 CVSS 9.1의 심각한(Critical) 등급으로 평가되었으며, CISA의 KEV(Known Exploited Vulnerabilities) 목록에 등재되어 실제 야생(In-the-Wild)에서 적극적으로 악용되고 있음이 확인되었습니다. 비록 직접적인 원격 코드 실행(RCE)으로 즉시 이어지지는 않더라도, 방화벽 설정 데이터 탈취, 세션 하이재킹, 무결성 훼손 등 내부 네트워크 전체의 보안 통제권을 상실할 수 있는 치명적인 결과를 초래할 수 있습니다.

공식 보안 권고문 및 참조 링크

NIST NVD 공식 영문 원문 (Original Record)

An authentication bypass in the Palo Alto Networks PAN-OS software enables an unauthenticated attacker with network access to the management web interface to bypass the authentication otherwise required by the PAN-OS management web interface and invoke certain PHP scripts. While invoking these PHP scripts does not enable remote code execution, it can negatively impact integrity and confidentiality of PAN-OS. You can greatly reduce the risk of this issue by restricting access to the management web interface to only trusted internal IP addresses according to our recommended best practices deployment guidelines https://live.paloaltonetworks.com/t5/community-blogs/tips-amp-tricks-how-to-secure-the-management-access-of-your-palo/ba-p/464431 . This issue does not affect Cloud NGFW or Prisma Access software.

https://security.paloaltonetworks.com/CVE-2025-0108

출처: psirt@paloaltonetworks.com · Exploit, Vendor Advisory

https://github.com/iSee857/CVE-2025-0108-PoC

출처: af854a3a-2127-422b-91ae-364da2661108 · Exploit, Third Party Advisory

https://slcyber.io/blog/nginx-apache-path-confusion-to-auth-bypass-in-pan-os/

출처: af854a3a-2127-422b-91ae-364da2661108 · Exploit, Press/Media Coverage

https://www.bleepingcomputer.com/news/security/palo-alto-networks-tags-new-firewall-bug-as-exploited-in-attacks/

출처: af854a3a-2127-422b-91ae-364da2661108 · Press/Media Coverage, Third Party Advisory

https://www.darkreading.com/remote-workforce/patch-now-cisa-researchers-warn-palo-alto-flaw-exploited-wild

출처: af854a3a-2127-422b-91ae-364da2661108 · Press/Media Coverage, Third Party Advisory

https://www.securityweek.com/palo-alto-networks-confirms-exploitation-of-firewall-vulnerability/

출처: af854a3a-2127-422b-91ae-364da2661108 · Press/Media Coverage, Third Party Advisory

자주 묻는 실무 질문 (FAQ — CVE-2025-0108)

FAQ

Q1. CVE-2025-0108 취약점의 위험도와 실제 악용 가능성은 어느 정도입니까?

CVE-2025-0108의 기본 점수는 CVSS 9.1 (CRITICAL)이며, 향후 30일 내 실제 악용 확률을 나타내는 EPSS 점수는 98.5%입니다. 현재 미국 CISA KEV(실제 악용이 확인된 취약점 카탈로그)에 등재되어 있으므로 최우선 긴급 패치가 필요합니다.

Q2. CVE-2025-0108에 영향을 받는 벤더와 제품은 무엇입니까?

주요 영향 벤더는 paloaltonetworks이며, 대상 컴포넌트는 pan-os입니다. 상세 영향 범위: Palo Alto Networks PAN-OS 소프트웨어 전체 버전 중 관리 웹 인터페이스가 활성화된 시스템 (Cloud NGFW 및 Prisma Access는 영향받지 않음)

Q3. 서버 재기동이나 정규 패치 전 즉시 적용할 수 있는 완화 조치(Workaround)는 무엇입니까?

[권장 조치] 취약점이 해결된 최신 PAN-OS 버전으로 즉시 업그레이드하고, 관리 인터페이스에 대한 외부 접근을 차단하는 방화벽 정책을 적용하십시오 본문의 패치 및 우회 명령어 섹션과 자가 점검 체크리스트를 참고하여 외부 노출 포트를 차단하거나 WAF 탐지 규칙을 선적용하십시오.

실무자 보고서 워크벤치 연동