CVE-2026-0300 — Exploit de débordement de tampon du portail d'authentification User-ID PAN-OS

Critique (CVSS 9.3) — Exécution de code à distance non authentifiée dans le portail captif PAN-OS de Palo Alto Networks

Table des matières

Vue d'ensemble
Détails de la vulnérabilité
Versions concernées
Diagrammes d'architecture
Structure du projet
Installation
Utilisation du scanner — Pas à pas
Utilisation de l'exploit — Pas à pas
Conception de la charge utile
Atténuation
Avertissement

Vue d'ensemble

CVE-2026-0300 est une vulnérabilité critique de débordement de tampon dans le service User-ID Authentication Portal (également connu sous le nom de portail captif) du logiciel PAN-OS de Palo Alto Networks. Un attaquant non authentifié peut exploiter cette vulnérabilité en envoyant des paquets spécialement conçus pour exécuter du code arbitraire avec les privilèges root sur les pare-feu des séries PA et VM.

Ce dépôt contient une boîte à outils d'exploitation proof-of-concept comprenant :

Générateur de charges utiles avec décalages spécifiques aux versions et shellcode de shell inversé x86_64
Scanner pour détecter les cibles du portail captif vulnérables
Exploit avec trois modes : détection, crash (DoS) et RCE complet

Détails de la vulnérabilité

Champ	Valeur
CVE ID	CVE-2026-0300
Sévérité	CRITIQUE
CVSS 4.0	9.3 (AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H)
CWE	CWE-787 : Écriture hors limites
CAPEC	CAPEC-100 : Débordement de tampons
Impact	Exécution de code à distance non authentifiée (root)
Statut d'exploitation	Exploitation limitée observée dans la nature

Description

Une vulnérabilité de débordement de tampon dans le service User-ID Authentication Portal du logiciel PAN-OS permet à un attaquant non authentifié d'exécuter du code arbitraire avec les privilèges root sur le pare-feu en envoyant des paquets spécialement conçus. Le service HTTP du portail captif utilise des tampons de pile de taille fixe pour analyser les en-têtes HTTP, qui peuvent être débordés par des valeurs d'en-tête surdimensionnées (Cookie, User-Agent, URI ou corps de requête POST).

Configuration requise pour l'exposition

Les deux conditions doivent être réunies pour qu'une cible soit vulnérable :

Portail d'authentification User-ID activé — Device > User Identification > Authentication Portal Settings > Enable Authentication Portal
Profil de gestion d'interface avec pages de réponse — attaché à une interface L3 dans une zone où le trafic non fiable/internet peut entrer

Référence de l'avis

Avis officiel : https://security.paloaltonetworks.com/CVE-2026-0300
Recommandations de bonnes pratiques : https://knowledgebase.paloaltonetworks.com/KCSArticleDetail?id=kA14u000000CqbiCAC

Versions concernées

Branche PAN-OS	Versions vulnérables	Version corrigée
10.2	10.2.7, 10.2.10, 10.2.13, 10.2.16, 10.2.18	10.2.7-h34+
11.1	11.1.0–11.1.14	11.1.15+
11.2	11.2.0–11.2.11	11.2.12+
12.1	12.1.0–12.1.6	12.1.7+

Non concernés : Prisma Access, Cloud NGFW, appliances Panorama.

POC-CVE-2026-0300-exploit

Populaires