---

📌 Überblick

CVE-2026-0257 ist eine Schwachstelle zur Umgehung der Authentifizierung, die die Komponenten GlobalProtect-Portal und -Gateway der Palo Alto Networks PAN-OS-Software betrifft.

Ein nicht authentifizierter Angreifer aus der Ferne kann Sicherheitsbeschränkungen umgehen und eine unautorisierte VPN-Verbindung zu betroffenen Firewalls aufbauen.

Hinweis: Panorama und Cloud NGFW sind nicht betroffen.

---

⚠️ Schweregrad & Bewertung

Metrik	Bewertung	Einstufung
CVSS v4.0	7.8 / 4.7	Hoch / Mittel
CVSS v3.x	Bis zu 9.8	Kritisch
Dringlichkeit	HÖCHSTE	-

Vektor (CVSS 4.0-Beispiel):
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:N/VA:N/SC:H/SI:H/SA:N

---

📖 Beschreibung

Schwachstellen zur Umgehung der Authentifizierung im GlobalProtect-Portal und -Gateway der Palo Alto Networks PAN-OS®-Software ermöglichen es dem Angreifer, Sicherheitsbeschränkungen zu umgehen und eine unautorisierte VPN-Verbindung aufzubauen.

Die Ursache liegt in CWE-565: Reliance on Cookies without Validation and Integrity Checking (Vertrauen auf Cookies ohne Validierung und Integritätsprüfung).

---

🛠 Betroffene Produkte

• PAN-OS-Versionen vor den korrigierten Releases (10.2, 11.1, 11.2, 12.1)
• Prisma Access (bestimmte Versionen)
• Firewalls mit konfiguriertem GlobalProtect-Portal oder -Gateway

Nicht betroffen:

• Panorama
• Cloud NGFW

---

🔍 Anfällige Konfiguration

Diese Schwachstelle erfordert die folgende Konfiguration, um ausnutzbar zu sein:

1. GlobalProtect-Portal oder -Gateway ist konfiguriert
2. Authentication-Override-Cookies sind aktiviert
3. Das Zertifikat zur Ver- und Entschlüsselung der Authentication-Override-Cookies wird mit einer anderen Funktion wiederverwendet

---

💥 Auswirkungen

• Unautorisierter VPN-Zugriff auf interne Netzwerke
• Mögliche laterale Bewegung durch Angreifer
• Umgehung der Multi-Faktor-Authentifizierung (in bestimmten Konfigurationen)
• Erhebliches Risiko für Unternehmensperimeter

Hohe Auswirkung auf Vertraulichkeit und Integrität geschützter Netzwerke.

---

🔥 Ausnutzungsstatus

• Aktiv ausgenutzt in freier Wildbahn (Stand 17. Mai 2026)
• Rapid7 beobachtete eine erfolgreiche Ausnutzung
• Palo Alto Networks bestätigte begrenzte Ausnutzungsversuche
• Am 29. Mai 2026 in den CISA-Katalog bekannter ausgenutzter Schwachstellen (KEV) aufgenommen

---

⚙️ Verwendung:

python3 CVE-2026-0257.py --target vpn.company.com
python3 CVE-2026-0257.py --target 192.168.1.100 --user administrator --verbose

✅ Erwartete erfolgreiche Ausgabe:

╔══════════════════════════════════════════════════════════════╗
║         CVE-2026-0257 - GlobalProtect Auth Bypass            ║
║               Public Key Cookie Forging Exploit              ║
║                     Author: 0xBlackash                       ║
╚══════════════════════════════════════════════════════════════╝

[*] Connecting to vpn.company.com:443 to extract certificate chain...
   [+] Found 2048-bit RSA key

[*] Forging authentication cookie for user: admin

[1/1] Trying public key...
   Cookie (first 60 chars): eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCJ9...

[+] SUCCESS! Authentication Bypass Achieved!
    Username : admin
    Cookie   : eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCJ9...

✅ Patches & Fixes

Behobene Versionen (bitte dringend anwenden):

PAN-OS-Version	Behobene Release
12.1	≥ 12.1.4-h6, ≥ 12.1.7
11.2	≥ 11.2.4-h17, ≥ 11.2.7-h14, etc.
11.1	≥ 11.1.4-h33, ≥ 11.1.7-h6, etc.
10.2	≥ 10.2.7-h34, ≥ 10.2.10-h36, etc.

Prisma Access verfügt ebenfalls über entsprechende behobene Versionen.

---

🛡️ Gegenmaßnahmen

Sofortige Workarounds (falls Patchen nicht möglich ist):

• Authentication-Override-Cookies deaktivieren, falls nicht erforderlich
• Wiederverwendung von Zertifikaten für die GlobalProtect-Authentication-Override vermeiden
• GlobalProtect-Protokolle auf verdächtige VPN-Verbindungen überwachen
• Verwaltungszugriff einschränken und strikte Sicherheitsrichtlinien aktivieren

---

🔗 Referenzen

• Offizieller Palo Alto Networks Advisory
• NVD-Detail
• Rapid7-Analyse
• CISA-KEV-Katalog

---

📅 Zeitverlauf

Datum	Ereignis
2026-05-13	CVE veröffentlicht + erstes Advisory
2026-05-17	Ausnutzung in freier Wildbahn beobachtet
2026-05-29	Palo-Alto-Update + Aufnahme in CISA KEV
2026-05-30	Dieser Bericht

---