🚨 CVE-2026-0257 - Vulnerabilità di bypass dell'autenticazione

PAN-OS: Vulnerabilità di bypass dell'autenticazione di GlobalProtect

Bypass dell'autenticazione nel portale e gateway GlobalProtect

📌 Panoramica

CVE-2026-0257 è una vulnerabilità di bypass dell'autenticazione che interessa i componenti del portale e gateway GlobalProtect del software PAN-OS di Palo Alto Networks.

Un attaccante remoto non autenticato può eludere le restrizioni di sicurezza e stabilire una connessione VPN non autorizzata sui firewall interessati.

Nota: Panorama e Cloud NGFW non sono interessati.

⚠️ Gravità e Punteggio

Vettore (esempio CVSS 4.0):
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:N/VA:N/SC:H/SI:H/SA:N

📖 Descrizione

Le vulnerabilità di bypass dell'autenticazione nel portale e gateway GlobalProtect del software PAN-OS® di Palo Alto Networks consentono all'attaccante di eludere le restrizioni di sicurezza e stabilire una connessione VPN non autorizzata.

Il problema deriva da CWE-565: Dipendenza dai cookie senza validazione e controllo dell'integrità.

🛠 Prodotti interessati

• PAN-OS versioni precedenti alle versioni corrette (10.2, 11.1, 11.2, 12.1)
• Prisma Access (versioni specifiche)
• Firewall con portale o gateway GlobalProtect configurato

Non interessati:

• Panorama
• Cloud NGFW

🔍 Configurazione vulnerabile

Questa vulnerabilità richiede la seguente configurazione per essere sfruttabile:

1. Portale o gateway GlobalProtect configurato
2. Cookie di override dell'autenticazione abilitati
3. Il certificato di crittografia/decifratura dei cookie di override dell'autenticazione è riutilizzato con un'altra funzionalità

💥 Impatto

• Accesso VPN non autorizzato alle reti interne
• Possibile movimento laterale da parte degli attaccanti
• Bypass dell'autenticazione multi-fattore (in determinate configurazioni)
• Rischio significativo per i perimetri aziendali

Alto impatto sulla riservatezza e integrità delle reti protette.

🔥 Stato dello sfruttamento

• Sfruttata attivamente in ambiente reale (a partire dal 17 maggio 2026)
• Rapid7 ha osservato sfruttamenti riusciti
• Palo Alto Networks ha confermato tentativi limitati di sfruttamento
• Aggiunta al catalogo CISA Known Exploited Vulnerabilities (KEV) il 29 maggio 2026

⚙️ Utilizzo:

python3 CVE-2026-0257.py --target vpn.company.com
python3 CVE-2026-0257.py --target 192.168.1.100 --user administrator --verbose

✅ Output previsto in caso di successo:

╔══════════════════════════════════════════════════════════════╗
║         CVE-2026-0257 - GlobalProtect Auth Bypass            ║
║               Public Key Cookie Forging Exploit              ║
║                     Author: 0xBlackash                       ║
╚══════════════════════════════════════════════════════════════╝

[*] Connecting to vpn.company.com:443 to extract certificate chain...
   [+] Found 2048-bit RSA key

[*] Forging authentication cookie for user: admin

[1/1] Trying public key...
   Cookie (first 60 chars): eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCJ9...

[+] SUCCESS! Authentication Bypass Achieved!
    Username : admin
    Cookie   : eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCJ9...

✅ Patch e correzioni

Versioni corrette (applicare urgentemente):

Anche Prisma Access dispone di versioni corrette corrispondenti.

🛡️ Mitigazioni

Soluzioni alternative immediate (se non è possibile applicare la patch):

• Disabilitare i cookie di override dell'autenticazione se non necessari
• Evitare il riutilizzo del certificato per l'override dell'autenticazione GlobalProtect
• Monitorare i log GlobalProtect per connessioni VPN sospette
• Limitare l'accesso alla gestione e abilitare policy di sicurezza rigorose

🔗 Riferimenti

• Advisory ufficiale di Palo Alto Networks
• Dettaglio NVD
• Analisi Rapid7
• Catalogo CISA KEV

📅 Cronologia