Hinweis: Die Korrektur des Herstellers (Entfernen von Newline-Zeichen) ist unvollständig — dasselbe Feld bleibt anfällig für gespeichertes Cross-Site Scripting (XSS), da keine Ausgabekodierung oder Zeichen-Whitelist angewendet wird.

2. Ursachenanalyse

2.1 Der Injektionspunkt

Das Feld secure-proxy-user ist im PAN-OS-Schema (schema.xml) als einfacher String ohne Eingabebereinigung definiert:

Hinweis: secure-proxy-server hat eine Regex-Einschränkung (regex="^([0-9a-zA-Z.:/_-])+$"), aber secure-proxy-user hat keine. Es gibt eine Längenbegrenzung von 31 Zeichen, aber keine Zeichenbeschränkungen.

2.2 Der anfällige Konfigurationsschreiber

Während eines Commits generiert PAN-OS /etc/nginx/nginx.conf aus einer Vorlage (/etc/nginx/nginx.conf.tmpl) neu. Die Vorlage enthält:

Der Platzhalter %s wird durch die Bibliotheksfunktion libpanmp_mp.so gefüllt, die Proxy-Server, Benutzername und verschlüsseltes Passwort zu einem einzigen String verkettet. In der anfälligen Version werden Newline-Zeichen im Benutzernamen unverändert übernommen.

2.3 Die resultierende Beschädigung der nginx.conf

Wenn secure-proxy-user a\naccess_log /tmp/pwn3;\n# enthält, wird die generierte nginx.conf zu:

Zeile 1 ist ein Kommentar. Zeile 2 ist eine gültige nginx-Direktive auf der http-Ebene. Zeile 3 wird durch das #-Zeichen des Angreifers neutralisiert.

2.4 Warum dies gefährlich ist

Der nginx-Masterprozess läuft als root. Die access_log-Direktive veranlasst nginx, die Zieldatei als root zu öffnen/erstellen. Dies ermöglicht:

1. Beliebige Dateierstellung an beliebiger Stelle im Dateisystem
2. Beliebiges Dateischreiben (HTTP-Zugriffsprotokollinhalt wird angehängt)
3. DoS, wenn eine ungültige Direktive injiziert wird (nginx verweigert das Neuladen)

3. Die Korrektur (und ihre Einschränkungen)

In der behobenen Version (11.1.13) entfernt der Konfigurationsschreiber Newline-Zeichen aus dem Proxy-Benutzernamen, bevor er in die nginx.conf geschrieben wird. Derselbe bösartige Wert erzeugt:

Alles bleibt in einer Zeile, sicher innerhalb des #-Kommentars.

Diese Korrektur ist jedoch unvollständig. Sie behebt nur die Newline-Injection. Das Feld secure-proxy-user akzeptiert weiterhin beliebige Zeichen (einschließlich ", <, >) ohne Ausgabekodierung, sodass der gespeicherte XSS-Vektor weit offen bleibt. Siehe unit-43-xss.

4. Proof of Concept

Voraussetzungen

• Authentifizierter Administratorzugriff auf die PAN-OS-Verwaltung (API oder Weboberfläche)
• Ein konfigurierter secure-proxy-server (erforderlich, damit der Proxy-Kommentar erscheint)

Schritt 1: API-Schlüssel abrufen

Schritt 2: Proxy-Server konfigurieren (falls nicht gesetzt)

Schritt 3: Bösartigen Proxy-Benutzernamen injizieren

Schritt 4: Konfiguration committen

Schritt 5: Überprüfen

Nach Abschluss des Commits (~30s):

• /tmp/pwn3 wird mit root-Besitzer erstellt
• nginx -t -c /etc/nginx/nginx.conf meldet: syntax is ok
• nginx wird erfolgreich mit der injizierten Direktive neu geladen

5. Ausbreitungsanalyse

Der unbereinigte Wert secure-proxy-user verbreitet sich auf mehrere Dateien:

Die Schreiber von curlrc (/root/.curlrc) und wgetrc (/root/.wgetrc) entfernen Newlines, selbst in der anfälligen Version. Der nginx.conf-Schreiber war der einzige Pfad, der nicht bereinigte.

6. RCE-Bewertung

Umfangreiche Tests von 11 Angriffsvektoren bestätigten, dass alleinstehende OS-Level-RCE aus CVE-2025-4615 auf PAN-OS 11.1.6-h7 mit nginx 1.20.1 nicht erreichbar ist. Die drei kritischen Hindernisse:

1. nginx \x0A-Escape — verhindert rohe Newline-Injection in Logdateien, blockiert Cron-Injection trotz der Toleranz von vixie-cron gegenüber Müllzeilen (laborbestätigt: Cron führt gültige Zeilen aus, die von Müll umgeben sind)
2. 31-Zeichen-Limit — verhindert die Kombination von log_format + access_log, um Inhaltskontrolle über geschriebene Dateien zu erlangen
3. Newline-Entfernung in curlrc/wgetrc — beseitigt den sekundären Dateischreibkanal

Die „Ausführung beliebiger Befehle“ in der Advisory bezieht sich höchstwahrscheinlich auf beliebige nginx-Direktiven, nicht auf OS-Level-Befehlsausführung. Dies steht im Einklang mit dem CVSS VC:N (keine Auswirkungen auf die Vertraulichkeit) und der Art der Korrektur.

Wenn eines der drei Hindernisse fehlen würde, wäre RCE trivial über Cron-Injection erreichbar.

Analyse durchgeführt in isolierter Laborumgebung mit PAN-OS 11.1.6-h7 (anfällig) und PAN-OS 11.1.13 (behoben).