أداة المسح غير التدميري لاستكشاف التعرض لثغرة PAN-OS CVE-2026-0300

نظرة عامة

هذه الأداة هي أداة مسح غير تدميري لاستكشاف التعرض لتقييم ما إذا كانت خدمة PAN-OS المستهدفة قد تعرّض أسطحًا قابلة للوصول عبر الشبكة مرتبطة بـ CVE-2026-0300.

الأداة مخصصة للتحقق الأمني الدفاعي المصرح به، ومراجعة تعرض الأصول، وفرز الثغرات. وهي لا تستغل الثغرة، ولا ترسل حمولات تلف الذاكرة، ولا تحاول تعطيل الجهاز المستهدف أو اختراقه.

الثغرة المستهدفة

صُممت هذه الأداة لتقييم التعرض المتعلق بـ:

• CVE: CVE-2026-0300
• البائع: Palo Alto Networks
• المنتج: PAN-OS
• المكوّن المتأثر: بوابة مصادقة User-ID، والمعروفة أيضًا باسم بوابة Captive Portal
• نوع الثغرة: تجاوز سعة المخزن المؤقت / كتابة خارج الحدود
• الأثر: تنفيذ محتمل لرمز عن بُعد دون مصادقة بصلاحيات الجذر على الأجهزة المتأثرة
• الخطورة: حرجة
• CVSS: 9.3
• نضج الاستغلال: تم استغلالها

وفقًا لـ Palo Alto Networks، تؤثر CVE-2026-0300 على نشرات PAN-OS حيث تكون بوابة مصادقة User-ID مفعّلة وقابلة للوصول من شبكات غير موثوقة. قد تتأثر جدران الحماية من سلسلة PA وسلسلة VM. تم إدراج Prisma Access وCloud NGFW وPanorama كغير متأثرة في النشرة الرسمية.

ما تتحقق منه هذه الأداة

تقوم الأداة بإجراء فحوصات شبكة وHTTP(S) آمنة لتحديد ما إذا كان الهدف يبدو أنه يعرّض خدمات متعلقة ببوابة PAN-OS.

تتحقق من:

• قابلية الوصول عبر TCP للمنفذ/العنوان المحدد.
• قابلية الوصول عبر HTTPS.
• قابلية الوصول عبر HTTP عند استخدام --scheme both أو --scheme http.
• طرق HTTP الآمنة فقط:
  • HEAD
  • GET
  • OPTIONS
• المسارات المتعلقة بالبوابة، بما في ذلك:
  • /
  • /php/login.php
  • /php/uid.php
  • /php/uidlogin.php
  • /sslmgr
  • /global-protect/login.esp
• رموز حالة استجابة HTTP.
• بصمات الاستجابة الأساسية التي قد تشير إلى:
  • PAN-OS
  • Palo Alto Networks
  • بوابة Captive Portal
  • بوابة مصادقة User-ID
  • GlobalProtect
  • صفحات الاستجابة
• تقييم اختياري لإصدار PAN-OS المُبلَّغ ذاتيًا باستخدام .

التحقق من شهادة HTTPS معطّل افتراضيًا لأن خدمات PAN-OS الإدارية والبوابات غالبًا ما تستخدم شهادات موقّعة ذاتيًا أو صادرة بشكل خاص.

ما لا تفعله هذه الأداة

هذه الأداة لا:

• ترسل حمولات استغلال.
• ترسل مخازن تلف الذاكرة.
• تحاول تجاوز المصادقة.
• تحاول تنفيذ رمز عن بُعد.
• تجري اختبارات تعطيل.
• تؤكد قابلية الاستغلال.
• تعدّل الجهاز المستهدف.
• تصادق على PAN-OS.
• تقرأ تكوين PAN-OS مباشرة.

توفر الأداة فقط تقييمًا خارجيًا للتعرض الملاحَظ عبر الشبكة، وإذا تم توفير --pan-os-ver، تقييمًا للمخاطر بناءً على الإصدار المُبلَّغ ذاتيًا.

ما يمكنك تعلمه من النتائج

تساعد الأداة في الإجابة على الأسئلة التالية:

1. هل منفذ الهدف قابل للوصول؟

تتحقق الأداة مما إذا كان بإمكان مضيف الماسح إنشاء اتصال TCP بالهدف والمنفذ المحددين.

مثال على النتيجة:

tcp=True
https=True

هذا يعني أن منفذ الهدف قابل للوصول من مضيف الماسح ويقبل اتصالات HTTPS.

2. هل تتصرف الخدمة كخدمة HTTP(S)؟

ترسل الأداة طلبات HTTP(S) آمنة وتسجّل رموز حالة الاستجابة.

أمثلة على النتائج:

HTTPS HEAD /: HTTP/1.1 403 Forbidden
HTTPS GET /php/uid.php: HTTP/1.1 500 Internal Server Error

هذا يعني أن الخدمة قابلة للوصول وتعالج طلبات HTTP(S).

3. هل المسارات المتعلقة بالبوابة قابلة للوصول خارجيًا؟

تتحقق الأداة من المسارات المرتبطة عادةً بوظائف بوابة PAN-OS أو صفحات الاستجابة.

أمثلة:

/php/login.php
/php/uid.php
/php/uidlogin.php

قد تشير الاستجابات غير 404 من هذه المسارات إلى أن معالجات البوابة قابلة للوصول من مضيف الماسح.

4. هل يبدو الهدف كبوابة PAN-OS/User-ID؟

تبحث الأداة عن مؤشرات نصية خفيفة في ترويسات الاستجابة والعناوين وعمليات إعادة التوجيه وملفات تعريف الارتباط وعينات جسم الاستجابة.

أمثلة على المؤشرات:

palo alto
pan-os
globalprotect
captive portal
user-id
authentication portal
response page

تزيد هذه المؤشرات من الثقة بأن الخدمة المكشوفة مرتبطة بوظائف بوابة PAN-OS.

5. هل إصدار PAN-OS المُقدَّم متأثر؟

إذا تم توفير --pan-os-ver، تقارن الأداة الإصدار المُقدَّم مع عتبات المتأثر/المُصلَح من جدول النشرة الرسمية المضمّن في البرنامج النصي.

مثال:

--pan-os-ver 10.2.4-h2

مثال على النتيجة:

patch_status: AFFECTED_BY_VERSION
version_status: AFFECTED_VERSION
combined_risk=HIGH

إذا لم يتم توفير --pan-os-ver، تعرض الأداة جدول الإصدارات المتأثرة/المُصلَحة وتبلغ حالة الإصدار كغير معروفة.

التثبيت

تستخدم هذه الأداة وحدات مكتبة Python القياسية فقط.

لا توجد تبعيات Python خارجية مطلوبة.

python3 --version

موصى به:

Python 3.8+

يمكن استخدام ملف requirements.txt بسيط:

# لا توجد تبعيات خارجية مطلوبة.
# تستخدم هذه الأداة وحدات مكتبة Python القياسية فقط.

الاستخدام الأساسي

فحص هدف ومنفذ واحد

python3 panos_cve_2026_0300_diag.py \
  -t 172.16.20.254 \
  -p 6082

الفحص مع إصدار PAN-OS مُبلَّغ ذاتيًا

python3 panos_cve_2026_0300_diag.py \
  -t 172.16.20.254 \
  -p 6082 \
  --pan-os-ver 10.2.4-h2

عرض الملاحظات التفصيلية لكل طلب

python3 panos_cve_2026_0300_diag.py \
  -t 172.16.20.254 \
  -p 6082 \
  --pan-os-ver 10.2.4-h2 \
  --verbose

فحص كل من HTTPS وHTTP

python3 panos_cve_2026_0300_diag.py \
  -t 172.16.20.254 \
  -p 6082 \
  --scheme both

استخدام فحص مسارات بسيط

افتراضيًا، تفحص الأداة جميع المسارات الآمنة المعروفة.

استخدم --minimal للتحقق فقط من:

• /
• /php/login.php

python3 panos_cve_2026_0300_diag.py \
  -t 172.16.20.254 \
  -p 6082 \
  --minimal

فحص منافذ متعددة

python3 panos_cve_2026_0300_diag.py \
  -t 172.16.20.254 \
  -p 443,6082,6081-6083 \
  --scheme both

فحص نطاق CIDR

python3 panos_cve_2026_0300_diag.py \
  -t 172.16.20.0/24 \
  -p 6082 \
  --csv-out results.csv \
  --json-out results.json

فحص أهداف من ملف

أنشئ targets.txt:

172.16.20.254
172.16.20.253
172.16.21.0/24

شغّل:

python3 panos_cve_2026_0300_diag.py \
  -T targets.txt \
  -p 6082 \
  --json-out results.json

خيارات سطر الأوامر

تفسير النتائج

تنتج الأداة ثلاثة أنواع رئيسية من التقييم:

1. مستوى التعرض
2. حالة الإصدار/التصحيح
3. المخاطر المجمعة

مرجع مستويات التعرض

مرجع مستويات الثقة

تفسير حالات HTTP

مرجع حالات الإصدار

مرجع حالات التصحيح

مرجع المخاطر المجمعة

مثال على الإخراج

مثال على الأمر:

python3 panos_cve_2026_0300_diag.py \
  -t 172.16.20.254 \
  -p 6082 \
  --pan-os-ver 10.2.4-h2 \
  --verbose

مثال على النتيجة:

[WARN] 172.16.20.254:6082 -> POSSIBLE_EXPOSED_AUTH_PORTAL / confidence=HIGH / combined_risk=HIGH
  exposure_reason: Portal-related paths appear reachable and behave like application handlers, but PAN-OS product/version cannot be confirmed remotely.
  patch_status: AFFECTED_BY_VERSION
  version_status: AFFECTED_VERSION
  pan_os_version: 10.2.4-h2
  normalized_version: 10.2.4-h2
  version_reason: Version is older than earliest fixed threshold 10.2.7-h34.
  combined_reason: Exposure indicators were observed and the supplied PAN-OS version is affected by the version table.
  evidence:
    - HTTPS HEAD /: HTTP/1.1 403 Forbidden
    - HTTPS HEAD /php/login.php: HTTP/1.1 405 Not Allowed
    - HTTPS GET /php/uid.php: HTTP/1.1 500 Internal Server Error
    - Portal-related PHP path returned 5xx, suggesting application handler exposure.
    - Multiple portal-related PHP paths responded with non-404 statuses: /php/login.php, /php/uid.php, /php/uidlogin.php

هذا يعني:

• منفذ الهدف قابل للوصول.
• HTTPS متاح.
• المسارات المتعلقة بالبوابة قابلة للوصول خارجيًا.
• أعاد مسار واحد على الأقل متعلق بالبوابة استجابة 5xx.
• إصدار PAN-OS المُقدَّم متأثر وفقًا لجدول الإصدارات المضمّن.
• المخاطر المجمعة عالية.

رموز الخروج

قيود مهمة

لا يمكن لهذه الأداة تحديد كل شيء من الشبكة وحدها.

لا يمكنها التأكيد مباشرة:

• ما إذا كانت بوابة مصادقة User-ID مفعّلة في تكوين PAN-OS.
• ما إذا كانت صفحات الاستجابة مفعّلة على ملف تعريف إدارة واجهة معين.
• ما إذا كانت الخدمة قابلة للوصول من جميع الشبكات غير الموثوقة.
• ما إذا كانت توقيعات Threat Prevention مفعّلة.
• ما إذا كان الهدف قابلًا للاستغلال فعليًا.
• ما إذا كان الهدف قد تم اختراقه.

يجب التعامل مع النتيجة كإشارة تعرض وفرز، وليس كدليل على قابلية الاستغلال.

فحوصات المتابعة الموصى بها

إذا أبلغت الأداة عن POSSIBLE_EXPOSED_AUTH_PORTAL أو LIKELY_EXPOSED_AUTH_PORTAL أو HIGH، راجع ما يلي على جهاز PAN-OS:

• تأكيد إصدار PAN-OS المثبت.
• تأكيد ما إذا كانت بوابة مصادقة User-ID / بوابة Captive Portal مفعّلة.
• تأكيد ما إذا كانت صفحات الاستجابة مفعّلة على الواجهات القابلة للوصول من الشبكات غير الموثوقة.
• تأكيد ما إذا كانت الخدمة قابلة للوصول من الإنترنت أو مناطق غير موثوقة أخرى.
• تأكيد ما إذا كان محتوى وتوقيعات Threat Prevention ذات الصلة مثبتة ومفعّلة.
• مراجعة سجلات النظام والتهديدات وحركة المرور بحثًا عن طلبات غير عادية إلى المسارات المتعلقة بالبوابة.
• تطبيق الإصدار المُصلَح أو التخفيف الموصى به من البائع.

روابط المعلومات الرسمية

• نشرة الأمان من Palo Alto Networks لـ CVE-2026-0300: https://security.paloaltonetworks.com/CVE-2026-0300

• بوابة نشرات الأمان من Palo Alto Networks: https://security.paloaltonetworks.com/

• كتالوج الثغرات المستغلة المعروفة من CISA: https://www.cisa.gov/known-exploited-vulnerabilities-catalog

• إدخال قاعدة بيانات الثغرات الوطنية NIST: https://nvd.nist.gov/vuln/detail/CVE-2026-0300

ملاحظات

تحقق دائمًا من أحدث نشرة من البائع قبل اتخاذ قرارات الإنتاج. يجب مراجعة جدول الإصدارات المتأثرة والمُصلَحة في هذه الأداة وتحديثه إذا قامت Palo Alto Networks بمراجعة النشرة.

هذه الأداة مخصصة للاستخدام الدفاعي المصرح به فقط.