🚨 CVE-2026-0257 - Vulnérabilités de contournement d'authentification

PAN-OS : Vulnérabilités de contournement d'authentification GlobalProtect

Contournement d'authentification dans le portail et la passerelle GlobalProtect

📌 Aperçu

CVE-2026-0257 est une vulnérabilité de contournement d'authentification affectant les composants portail et passerelle GlobalProtect du logiciel PAN-OS de Palo Alto Networks.

Un attaquant distant non authentifié peut contourner les restrictions de sécurité et établir une connexion VPN non autorisée vers les pare-feu concernés.

Remarque : Panorama et Cloud NGFW ne sont pas impactés.

⚠️ Sévérité et score

Vecteur (exemple CVSS 4.0) :
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:N/VA:N/SC:H/SI:H/SA:N

📖 Description

Les vulnérabilités de contournement d'authentification dans le portail et la passerelle GlobalProtect du logiciel PAN-OS® de Palo Alto Networks permettent à l'attaquant de contourner les restrictions de sécurité et d'établir une connexion VPN non autorisée.

Le problème provient de CWE-565 : Dépendance à l'égard des cookies sans validation ni vérification d'intégrité.

🛠 Produits concernés

• PAN-OS versions antérieures aux correctifs (10.2, 11.1, 11.2, 12.1)
• Prisma Access (versions spécifiques)
• Pare-feu avec GlobalProtect portail ou passerelle configuré

Non concernés :

• Panorama
• Cloud NGFW

🔍 Configuration vulnérable

Cette vulnérabilité nécessite la configuration suivante pour être exploitable :

1. Le portail ou la passerelle GlobalProtect est configuré
2. Les cookies de substitution d'authentification sont activés
3. Le certificat de chiffrement/déchiffrement des cookies de substitution d'authentification est réutilisé avec une autre fonctionnalité

💥 Impact

• Accès VPN non autorisé aux réseaux internes
• Mouvement latéral potentiel par les attaquants
• Contournement de l'authentification multifacteur (dans certaines configurations)
• Risque significatif pour les périmètres d'entreprise

Impact élevé sur la confidentialité et l'intégrité des réseaux protégés.

🔥 Statut d'exploitation

• Exploité activement dans la nature (au 17 mai 2026)
• Rapid7 a observé une exploitation réussie
• Palo Alto Networks a confirmé des tentatives d'exploitation limitées
• Ajouté au catalogue CISA Known Exploited Vulnerabilities (KEV) le 29 mai 2026

⚙️ Utilisation :

python3 CVE-2026-0257.py --target vpn.company.com
python3 CVE-2026-0257.py --target 192.168.1.100 --user administrator --verbose

✅ Sortie réussie attendue :

╔══════════════════════════════════════════════════════════════╗
║         CVE-2026-0257 - GlobalProtect Auth Bypass            ║
║               Public Key Cookie Forging Exploit              ║
║                     Author: 0xBlackash                       ║
╚══════════════════════════════════════════════════════════════╝

[*] Connecting to vpn.company.com:443 to extract certificate chain...
   [+] Found 2048-bit RSA key

[*] Forging authentication cookie for user: admin

[1/1] Trying public key...
   Cookie (first 60 chars): eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCJ9...

[+] SUCCESS! Authentication Bypass Achieved!
    Username : admin
    Cookie   : eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCJ9...

✅ Correctifs et solutions

Versions corrigées (appliquer d'urgence) :

Prisma Access dispose également de versions corrigées correspondantes.

🛡️ Mesures d'atténuation

Solutions de contournement immédiates (si le correctif n'est pas possible) :

• Désactiver les cookies de substitution d'authentification s'ils ne sont pas nécessaires
• Éviter la réutilisation des certificats pour la substitution d'authentification GlobalProtect
• Surveiller les journaux GlobalProtect pour détecter les connexions VPN suspectes
• Restreindre l'accès à la gestion et activer des politiques de sécurité strictes

🔗 Références

• Avis officiel de Palo Alto Networks
• Détail NVD
• Analyse Rapid7
• Catalogue CISA KEV

📅 Chronologie