Palo Alto Networks đã công bố một lỗ hổng bảo mật nghiêm trọng trong phần mềm Autonomous Digital Experience Manager (ADEM) của mình, có khả năng cho phép kẻ tấn công giành được quyền truy cập cấp root trên các hệ thống macOS.
Tổng quan về CVE-2025-0139
Lỗ hổng này được theo dõi dưới mã định danh CVE-2025-0139. Nó ảnh hưởng đến các phiên bản từ 5.6.0 đến 5.6.6 của phần mềm ADEM. CVE-2025-0139 đã được gán điểm CVSS cơ bản là 6.3. Mặc dù hệ thống chấm điểm nội bộ của công ty xếp hạng lỗ hổng này ở mức độ nghiêm trọng LOW, nhưng mức độ khẩn cấp được đánh giá là MODERATE.
Mô tả lỗ hổng
Điểm yếu bảo mật này bắt nguồn từ một lỗ hổng liên quan đến việc gán đặc quyền không chính xác (incorrect privilege assignment vulnerability). Lỗ hổng cho phép một người dùng đã xác thực cục bộ với đặc quyền cấp thấp (low-level privileges) có thể leo thang đặc quyền của họ lên mức root trên các điểm cuối macOS.
Cơ chế leo thang đặc quyền này xảy ra do phần mềm xử lý không đúng các quyền của người dùng (improper handling of user permissions). Điều này tạo ra một con đường cho các tác nhân độc hại đã có quyền truy cập ban đầu vào một hệ thống để mở rộng đáng kể quyền kiểm soát của họ.
Thông tin chi tiết
- Mã định danh lỗ hổng: CVE-2025-0139
- Phần mềm bị ảnh hưởng: Palo Alto Networks Autonomous Digital Experience Manager (ADEM)
- Phiên bản bị ảnh hưởng: 5.6.0 đến 5.6.6
- Nền tảng: macOS
- Loại lỗ hổng: Leo thang đặc quyền cục bộ (Local Privilege Escalation – LPE) thông qua gán đặc quyền không chính xác.
- Điểm CVSS cơ bản: 6.3
- Mức độ nghiêm trọng nội bộ (Palo Alto Networks): LOW (nghiêm trọng), MODERATE (khẩn cấp)
- Tham chiếu phát hiện: DEM-9950
- Ngày công bố: 9 tháng 7, 2025
Phân tích kỹ thuật
Lỗ hổng này không yêu cầu cấu hình đặc biệt nào để có thể khai thác, điều này làm tăng mức độ đáng lo ngại cho các tổ chức đang chạy các phiên bản bị ảnh hưởng.
Điều kiện khai thác
Để khai thác lỗ hổng này, kẻ tấn công cần có quyền truy cập cục bộ vào hệ thống và đặc quyền người dùng cấp thấp. Điều quan trọng là sau khi cuộc tấn công được khởi động, không yêu cầu sự tương tác nào của người dùng. Độ phức tạp của cuộc tấn công được đánh giá là LOW, cho thấy việc khai thác không đòi hỏi các kỹ thuật hoặc công cụ tinh vi.
Mức độ nghiêm trọng và ảnh hưởng
Mặc dù điểm CVSS cơ bản là 6.3 và đánh giá nội bộ của công ty là LOW về mức độ nghiêm trọng ban đầu, tác động tiềm tàng của lỗ hổng này vẫn đáng kể. Việc khai thác thành công có thể cấp cho kẻ tấn công quyền kiểm soát hoàn toàn các hệ thống macOS bị ảnh hưởng.
Hồ sơ tác động của lỗ hổng cho thấy trong khi các tác động ban đầu đến tính bảo mật (confidentiality), tính toàn vẹn (integrity) và tính sẵn sàng (availability) là tối thiểu hoặc không đáng kể, thì tác động tiếp theo trên cả ba trụ cột bảo mật này đều được đánh giá là HIGH. Điều này chỉ ra rằng, một khi việc leo thang đặc quyền xảy ra, kẻ tấn công có khả năng truy cập dữ liệu nhạy cảm, sửa đổi cấu hình hệ thống và làm gián đoạn hoạt động của hệ thống.
Tình trạng khai thác thực tế
Palo Alto Networks đã xác nhận rằng họ chưa ghi nhận bất kỳ trường hợp khai thác độc hại nào của lỗ hổng này trong thực tế. Mức độ trưởng thành của khai thác được phân loại là “UNREPORTED,” cho thấy chưa có mã chứng minh khái niệm (proof-of-concept code) công khai hoặc các chiến dịch khai thác đang hoạt động được xác định.
Giải pháp và Chiến lược Giảm thiểu
Palo Alto Networks đã phát hành phiên bản 5.6.7 như là giải pháp dứt điểm cho lỗ hổng này.
Cập nhật phần mềm
Các tổ chức đang chạy phần mềm Autonomous Digital Experience Manager phiên bản 5.6.0 đến 5.6.6 trên macOS được khuyến nghị nâng cấp ngay lập tức lên phiên bản 5.6.7 hoặc cao hơn. Công ty đã xác nhận rằng không có giải pháp tạm thời (workarounds) hoặc biện pháp giảm thiểu tạm thời nào có sẵn cho vấn đề này, điều này khiến việc cập nhật phần mềm trở thành phương pháp bảo vệ khả thi duy nhất.
Lưu ý quan trọng
Lỗ hổng này được phát hiện từ bên ngoài và được báo cáo dưới tham chiếu DEM-9950. Các đội ngũ bảo mật nên ưu tiên cập nhật này trong lịch trình vá lỗi của mình, đặc biệt là với mức độ khẩn cấp MODERATE và tiềm năng gây ra sự thỏa hiệp hệ thống đáng kể.
