🚨 CVE-2026-0257 - Vulnerabilidades de Omisión de Autenticación

PAN-OS: Vulnerabilidades de omisión de autenticación en GlobalProtect

Omisión de autenticación en el portal y la puerta de enlace de GlobalProtect

📌 Resumen

CVE-2026-0257 es una vulnerabilidad de omisión de autenticación que afecta los componentes del portal y la puerta de enlace de GlobalProtect del software PAN-OS de Palo Alto Networks.

Un atacante remoto no autenticado puede eludir las restricciones de seguridad y establecer una conexión VPN no autorizada a los firewalls afectados.

Nota: Panorama y Cloud NGFW no están afectados.

⚠️ Gravedad y puntuación

Vector (ejemplo CVSS 4.0):
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:N/VA:N/SC:H/SI:H/SA:N

📖 Descripción

Las vulnerabilidades de omisión de autenticación en el portal y la puerta de enlace de GlobalProtect del software PAN-OS® de Palo Alto Networks permiten al atacante eludir las restricciones de seguridad y establecer una conexión VPN no autorizada.

El problema se origina en CWE-565: Dependencia de cookies sin validación ni comprobación de integridad.

🛠 Productos afectados

• PAN-OS versiones anteriores a las versiones corregidas (10.2, 11.1, 11.2, 12.1)
• Prisma Access (versiones específicas)
• Firewalls con portal o puerta de enlace GlobalProtect configurado

No afectados:

• Panorama
• Cloud NGFW

🔍 Configuración vulnerable

Esta vulnerabilidad requiere la siguiente configuración para ser explotable:

1. El portal o la puerta de enlace de GlobalProtect está configurado
2. Las cookies de anulación de autenticación están habilitadas
3. El certificado de cifrado/descifrado de cookies de anulación de autenticación se reutiliza con otra funcionalidad

💥 Impacto

• Acceso VPN no autorizado a redes internas
• Posible movimiento lateral por parte de atacantes
• Omisión de autenticación multifactor (en ciertas configuraciones)
• Riesgo significativo para los perímetros empresariales

Alto impacto en la confidencialidad e integridad de las redes protegidas.

🔥 Estado de explotación

• Explotada activamente en estado salvaje (a partir del 17 de mayo de 2026)
• Rapid7 observó explotación exitosa
• Palo Alto Networks confirmó intentos limitados de explotación
• Agregada al catálogo CISA Known Exploited Vulnerabilities (KEV) el 29 de mayo de 2026

⚙️ Uso:

python3 CVE-2026-0257.py --target vpn.company.com
python3 CVE-2026-0257.py --target 192.168.1.100 --user administrator --verbose

✅ Salida exitosa esperada:

╔══════════════════════════════════════════════════════════════╗
║         CVE-2026-0257 - GlobalProtect Auth Bypass            ║
║               Public Key Cookie Forging Exploit              ║
║                     Author: 0xBlackash                       ║
╚══════════════════════════════════════════════════════════════╝

[*] Connecting to vpn.company.com:443 to extract certificate chain...
   [+] Found 2048-bit RSA key

[*] Forging authentication cookie for user: admin

[1/1] Trying public key...
   Cookie (first 60 chars): eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCJ9...

[+] SUCCESS! Authentication Bypass Achieved!
    Username : admin
    Cookie   : eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCJ9...

✅ Parches y correcciones

Versiones corregidas (aplicar urgentemente):

Prisma Access también tiene versiones corregidas correspondientes.

🛡️ Mitigaciones

Soluciones temporales inmediatas (si no es posible aplicar parches):

• Deshabilitar las cookies de anulación de autenticación si no son necesarias
• Evitar la reutilización de certificados para la anulación de autenticación de GlobalProtect
• Monitorear los registros de GlobalProtect en busca de conexiones VPN sospechosas
• Restringir el acceso de administración y habilitar políticas de seguridad estrictas

🔗 Referencias

• Aviso oficial de Palo Alto Networks
• Detalle de NVD
• Análisis de Rapid7
• Catálogo CISA KEV

📅 Cronología