bishopfox/cve-2026-0265-checkSicher erkennen, ob ein PAN-OS Zielsystem anfällig für CVE-2026-0265 ist.
Stellen Sie sicher fest, ob ein Palo Alto Networks PAN-OS GlobalProtect-Portal anfällig für CVE-2026-0265 ist, ohne eine Sitzung zu authentifizieren oder einen Zustand zu ändern.
CVE-2026-0265 ist eine Remote-Authentifizierungsumgehung, die PAN-OS und Panorama betrifft und ausgelöst wird, wenn ein Authentifizierungsprofil den Cloud Authentication Service (CAS) verwendet. Die anfällige Funktion pan_auth_verify in libpanmp_mp.so führt die Signaturprüfung des JSON-Web-Tokens ausschließlich auf dem vom Angreifer kontrollierten alg-Header durch – ein gefälschtes JWT mit alg=HS256 und HMAC-SHA256(cas_public_key_pem, header.payload) als Signatur wird akzeptiert, als wäre es ein echtes RS256-signiertes CAS-Token, sodass jeder Angreifer jeden Benutzer impersonieren kann.
Der Fehler ist über zwei Angriffsflächen erreichbar – das GlobalProtect-Portal (/saml/acs.esp, ergibt eine VPN-Sitzung) und die Verwaltungsoberfläche (, ergibt einen vollwertigen PAN-OS-Administrator).
/SAML20/SP/ACSEine einzelne anonyme GET /global-protect/prelogin.esp-Anfrage liefert alles, was für ein autoritatives Urteil benötigt wird:
<cas-auth>yes|no</cas-auth>, das direkt von der Portal-Authentifizierungskonfiguration gesetzt wird. Ein Wert von yes bestätigt, dass die CVE-Vorbedingung für diesen Listener erfüllt ist.<saml-request>. Die Dekodierung liefert die autoritative Versionszeichenfolge der Firewall, die dann gegen die vom Anbieter bereitgestellte Matrix aus Basis-Version und gepatchtem Hotfix abgeglichen wird, um das Urteil zu fällen..saas-Kurzschluss – PA-cloudverwaltete Builds sind gemäß der Klarstellung von Palo Alto (21. Mai 2026) nicht betroffen, unabhängig von der zugrunde liegenden Build-Nummer.Das Skript gibt das Urteil, die gemeldete PanOS-Version der Firewall (damit ein Verteidiger die Bewertung mit seinem Inventar abgleichen kann) sowie grundlegende Triage-Informationen (prelogin_status, prelogin_msg, http_status, Fehlerhinweise) aus. Wenn Ihre Pipeline umfangreichere Gerätemetadaten benötigt, gleichen Sie die Ziel-URL mit Ihrem eigenen Inventar ab.
git clone https://github.com/BishopFox/CVE-2026-0265-check
cd CVE-2026-0265-check
pip install requests
Erfordert Python 3.9+ und das requests-Paket.
Übergeben Sie ein oder mehrere Ziele als Positionsargumente, über --targets-file oder über stdin. Hostnamen und host:port-Zeichenfolgen werden automatisch in https:// umgewandelt.
python3 CVE-2026-0265-check.py [options] <target> [<target>...]
| Flag | Bedeutung |
|---|---|
-f, --targets-file DATEI | Ein Ziel pro Zeile aus DATEI lesen |
-t, --timeout SEKUNDEN | Timeout pro Anfrage. Standard: 20.0 |
-c, --concurrent N | Max. parallele Ziele. Standard: 5 |
-b, --brief | Gib <url>\t<verdict>\t<panos_version> pro Ziel aus anstelle von vollständigem JSON |
--user-agent UA | Überschreiben Sie den User-Agent der Sonde. Standard ist ein browserähnlicher Chrome-String, der das GP-Client-Versions-Gate von gpsvc umgeht; verwenden Sie einen benutzerdefinierten UA, wenn Sie Sichtbarkeit im Zugriffsprotokoll benötigen und den versionsgesteuerten Pfad nicht benötigen. |
Standardausgabe ist ein JSON-Objekt pro Ziel auf stdout (jq-freundlich).
Das Skript gibt eine von drei Urteilsklassen pro Ziel aus. Bestimmte Urteile beantworten die Schwachstellenfrage für dieses Ziel autoritativ. Unbestimmte Urteile zeigen an, dass die Sonde zu keiner Schlussfolgerung gelangen konnte und eine Nachverfolgung durch den Betreiber erforderlich ist.
| Urteil | Wann |
|---|---|
VULNERABLE | CAS angebunden, PanOSversion liegt strikt unter dem gepatchten Hotfix des Advisories für diese Basis, nicht .saas. |
| Urteil | Wann |
|---|---|
PATCHED | CAS angebunden, PanOSversion liegt auf oder über dem gepatchten Hotfix des Advisories für diese Basis. |
NOT-AFFECTED-SAAS | CAS angebunden, aber PanOSversion hat das .saas-Suffix (PA-cloudverwaltet; nicht betroffen gemäß PA 21. Mai 2026). |
NOT-AFFECTED-NO-CAS | Prelogin erfolgreich zurückgegeben, aber <cas-auth> zeigt SAML / RADIUS / LDAP / lokale Authentifizierung. CVE gilt für diesen Listener nicht. |
NOT-AFFECTED-NOT-GLOBALPROTECT | Antwortform ist kein GP-Portal (z. B. „GlobalProtect portal does not exist"). Außerhalb des Geltungsbereichs. |
| Urteil | Wann | Vorgeschlagene Nachverfolgung |
|---|---|---|
UNDETERMINED-VERSION-GATED | gpsvc antwortete mit „CAS is not supported by the client". CAS ist angebunden, aber die Sonde wurde aus User-Agent-Gründen abgelehnt; PanOSversion kann aus dieser Antwort nicht gelesen werden. | Wiederholen mit --user-agent, der auf einen echten GP-Client-String gesetzt ist. |
UNDETERMINED-MTLS-GATED | „Valid client certificate is required" in der Prelogin-Antwort. Authentifizierungsoberfläche hinter einem mTLS-Gate versteckt. | Bestätigen Sie den Build über einen separaten Kanal (autoritative Version des Kunden oder eine Sonde mit gültigem Client-Zertifikat). |
UNDETERMINED-ERROR | Netzwerkfehler, fehlerhafte Antwort, nicht parsbare PanOSversion oder fehlgeschlagene Token-Dekodierung trotz cas-auth=yes. | Wiederholen; falls anhaltend, ist das Ziel von dieser Position wahrscheinlich nicht erreichbar. |
$ python3 CVE-2026-0265-check.py -b -f targets.txt
https://gp1.customer.example VULNERABLE 11.1.6-h23
https://gp2.customer.example PATCHED 11.1.6-h32
https://vpn.cloud.customer.example NOT-AFFECTED-SAAS 11.2.7-h9.saas
https://mgmt.customer.example NOT-AFFECTED-NO-CAS -
https://www.customer.example NOT-AFFECTED-NOT-GLOBALPROTECT -
https://internal-vpn.customer.example UNDETERMINED-MTLS-GATED -
$ python3 CVE-2026-0265-check.py gp.customer.example | jq .
{
"target": "https://gp.customer.example",
"verdict": "VULNERABLE",
"panos_version": "11.1.6-h23",
"prelogin_status": "Success",
"http_status": 200,
"notes": [
"11.1.6-h23 is below the advisory's patched hotfix for this base."
]
}
gpsvc begrenzt die Rate bei aufeinanderfolgenden Sondierungen – das Skript wiederholt bereits jeden HTTP 503 mit zunehmendem Backoff, aber -c 5 und ein moderates -t sind für große Flotten freundlich:
cat all-targets.txt | python3 CVE-2026-0265-check.py -b -c 5
Das Skript kann nur dann ein bestimmtes Urteil fällen, wenn:
NOT-AFFECTED-NOT-GLOBALPROTECT oder UNDETERMINED-ERROR).UNDETERMINED-MTLS-GATED) oder durch eine aggressive User-Agent-Prüfung (sonst UNDETERMINED-VERSION-GATED).Verteilt unter einer MIT-Lizenz.
Die Verwendung dieses Tools zum Angriff auf Ziele ohne vorherige gegenseitige Zustimmung ist illegal. Es liegt in der Verantwortung des Endbenutzers, alle geltenden lokalen, staatlichen und bundesstaatlichen Gesetze einzuhalten. Die Entwickler übernehmen keine Haftung und sind nicht verantwortlich für Missbrauch oder Schäden, die durch dieses Programm verursacht werden.