CVE-2026-0257 — Contournement de l'authentification PAN-OS GlobalProtect

Preuve de concept de détection à distance

Détection uniquement. Aucune exploitation. Aucun identifiant soumis. Aucun cookie falsifié.

Aperçu

CVE-2026-0257 est une vulnérabilité de contournement de l'authentification (CWE-565 — Dépendance aux cookies sans validation ni contrôle d'intégrité) dans le portail et la passerelle GlobalProtect de PAN-OS de Palo Alto Networks. Lorsque les cookies de dérogation d'authentification sont activés et qu'une configuration de certificat spécifique existe, un attaquant non authentifié peut contourner les restrictions de sécurité et établir une connexion VPN non autorisée.

• Avis : https://security.paloaltonetworks.com/CVE-2026-0257
• CVSS 4.0 : 4.7 (MOYEN) / Score de base : 7.8
• CWE : CWE-565
• Composants concernés : Portail GlobalProtect, Passerelle GlobalProtect
• Non concernés : Panorama, Cloud NGFW

Versions concernées

Configuration requise pour l'exposition

La vulnérabilité ne s'applique que lorsque les cookies de dérogation d'authentification sont activés sur le portail ou la passerelle. Pour vérifier :

Portail : Réseau → GlobalProtect → Portails → Agent → Configuration de l'agent → onglet Authentification

• « Generate cookie for authentication override » ou « Accept cookie for authentication override » est coché

Passerelle : Réseau → GlobalProtect → Passerelles → Agent → Paramètres client → onglet Authentification Override

• « Accept cookie for authentication override » est coché

Cet outil

cve_2026_0257_check.py effectue une détection à distance passive et en lecture seule :

1. Détection du portail/passerelle GP — vérifie les points de terminaison non authentifiés standards pour la présence de GlobalProtect
2. Empreinte de version PAN-OS — lit la version à partir des en-têtes Server, du HTML de la page de connexion et de la réponse XML /global-protect/portal/config.esp
3. Indicateur de cookie de dérogation d'authentification — recherche des signaux comportementaux indiquant que la dérogation d'authentification basée sur les cookies peut être activée
4. Vérification des plages de versions — compare la version détectée à toutes les plages vulnérables définies par l'avis

Ce qu'il ne fait PAS

• Ne soumet pas d'identifiants
• Ne forge ni ne rejoue de cookies d'authentification
• Ne tente pas d'établir une connexion VPN
• N'écrit ni ne modifie quoi que ce soit sur la cible

Prérequis

• Python 3.8+
• Aucune dépendance tierce (bibliothèque standard uniquement)

Utilisation

# Cible unique (port par défaut 443)
python3 cve_2026_0257_check.py vpn.example.com

# Port personnalisé
python3 cve_2026_0257_check.py vpn.example.com:8443

# Plusieurs cibles
python3 cve_2026_0257_check.py host1 host2 host3

# Sortie JSON
python3 cve_2026_0257_check.py vpn.example.com --json

# Ajuster le délai d'attente
python3 cve_2026_0257_check.py vpn.example.com --timeout 15

Sortie

============================================================
  Target  : vpn.example.com:443
  Verdict : LIKELY_VULNERABLE
============================================================
  GP Portal reachable  : True
  GP Gateway reachable : True
  PAN-OS version       : 11.2.7-h3
  Auth-cookie indicator: True
  Version vulnerable   : True

  Notes:
    • GlobalProtect portal page found at /global-protect/login.esp (HTTP 200)
    • GlobalProtect gateway endpoint present (HTTP 400)
    • Version from /global-protect/portal/config.esp: 11.2.7-h3
    • portal/config.esp returned HTTP 200 with body — may indicate auth-override cookie acceptance is enabled

  [!] Host appears to run a vulnerable PAN-OS version.
      Verify auth-override cookie config per the advisory:
      https://security.paloaltonetworks.com/CVE-2026-0257

Valeurs de verdict

Remédiation

Selon l'avis officiel :

1. Mettre à niveau vers une version PAN-OS corrigée (voir le tableau ci-dessus)
2. Ou utiliser un certificat dédié exclusivement pour les cookies de dérogation d'authentification — ne pas réutiliser le certificat du portail/passerelle
3. Ou désactiver entièrement la dérogation d'authentification en décochant les options pertinentes dans la configuration du portail et de la passerelle

Après le correctif, les utilisateurs devront s'authentifier une nouvelle fois, le cookie étant régénéré selon une méthode plus sécurisée.

Divulgation

• Découverte : En interne par l'équipe PSIRT de Palo Alto Networks
• Publication : 2026-05-13
• Statut d'exploitation : Aucune exploitation malveillante connue à la date de publication

Mentions légales

Cet outil est destiné à être utilisé sur des systèmes que vous possédez ou pour lesquels vous disposez d'une autorisation écrite explicite de test. Toute utilisation non autorisée contre des systèmes que vous ne possédez pas est illégale. Les auteurs déclinent toute responsabilité en cas d'utilisation abusive.