CVE-2026-0257 — PAN-OS GlobalProtect Bypass di Autenticazione

Proof of Concept per Rilevamento Remoto

Solo rilevamento. Nessuno sfruttamento. Nessuna credenziale inviata. Nessun cookie falsificato.

Panoramica

CVE-2026-0257 è una vulnerabilità di bypass dell'autenticazione (CWE-565 — Affidamento sui Cookie senza Validazione e Controllo di Integrità) nel portale e gateway GlobalProtect di Palo Alto Networks PAN-OS. Quando i cookie di override dell'autenticazione sono abilitati e esiste una specifica configurazione del certificato, un attaccante non autenticato può bypassare le restrizioni di sicurezza e stabilire una connessione VPN non autorizzata.

• Avviso: https://security.paloaltonetworks.com/CVE-2026-0257
• CVSS 4.0: 4.7 (MEDIUM) / Base: 7.8
• CWE: CWE-565
• Componenti interessati: GlobalProtect Portal, GlobalProtect Gateway
• Non interessati: Panorama, Cloud NGFW

Versioni Interessate

Configurazione Richiesta per l'Esposizione

La vulnerabilità si applica solo quando i cookie di override dell'autenticazione sono abilitati sul portale o sul gateway. Per verificare:

Portale: Network → GlobalProtect → Portals → Agent → Agent Config → scheda Authentication

• "Generate cookie for authentication override" o "Accept cookie for authentication override" è selezionato

Gateway: Network → GlobalProtect → Gateways → Agent → Client Settings → scheda Authentication Override

• "Accept cookie for authentication override" è selezionato

Questo Strumento

cve_2026_0257_check.py esegue il rilevamento remoto passivo e di sola lettura:

1. Rilevamento portal/gateway GP — controlla gli endpoint standard non autenticati per la presenza di GlobalProtect
2. Fingerprinting versione PAN-OS — legge la versione dagli header Server, dall'HTML della pagina di login e dalla risposta XML di /global-protect/portal/config.esp
3. Indicatore cookie auth-override — cerca segnali comportamentali che l'override dell'autenticazione basato su cookie potrebbe essere abilitato
4. Controllo intervallo versione — confronta la versione rilevata con tutti gli intervalli vulnerabili definiti nell'avviso

Cosa NON fa

• Non invia credenziali
• Non falsifica o riproduce cookie di autenticazione
• Non tenta di stabilire una connessione VPN
• Non scrive o modifica nulla sul target

Requisiti

• Python 3.8+
• Nessuna dipendenza esterna (solo stdlib)

Utilizzo

# Single target (default port 443)
python3 cve_2026_0257_check.py vpn.example.com

# Custom port
python3 cve_2026_0257_check.py vpn.example.com:8443

# Multiple targets
python3 cve_2026_0257_check.py host1 host2 host3

# JSON output
python3 cve_2026_0257_check.py vpn.example.com --json

# Adjust timeout
python3 cve_2026_0257_check.py vpn.example.com --timeout 15

Output

============================================================
  Target  : vpn.example.com:443
  Verdetto : LIKELY_VULNERABLE
============================================================
  Portale GP raggiungibile  : True
  Gateway GP raggiungibile : True
  Versione PAN-OS       : 11.2.7-h3
  Indicatore cookie auth: True
  Versione vulnerabile   : True

  Note:
    • Pagina del portale GlobalProtect trovata su /global-protect/login.esp (HTTP 200)
    • Endpoint gateway GlobalProtect presente (HTTP 400)
    • Versione da /global-protect/portal/config.esp: 11.2.7-h3
    • portal/config.esp ha restituito HTTP 200 con corpo — potrebbe indicare che l'accettazione del cookie auth-override è abilitata

  [!] L'host sembra eseguire una versione PAN-OS vulnerabile.
      Verifica la configurazione del cookie auth-override secondo l'avviso:
      https://security.paloaltonetworks.com/CVE-2026-0257

Valori del Verdetto

Rimedio

Secondo l'avviso ufficiale:

1. Aggiornare a una versione PAN-OS corretta (vedi tabella sopra)
2. Oppure utilizzare un certificato dedicato esclusivamente per i cookie di override dell'autenticazione — non riutilizzare il certificato del portal/gateway
3. Oppure disabilitare completamente l'override dell'autenticazione deselezionando le opzioni rilevanti nella configurazione del portal e del gateway

Dopo l'aggiornamento, gli utenti dovranno riautenticarsi una volta poiché il cookie viene rigenerato utilizzando un metodo più sicuro.

Divulgazione

• Scoperto: Internamente da Palo Alto Networks PSIRT
• Pubblicato: 2026-05-13
• Stato dello sfruttamento: Nessuno sfruttamento malevolo noto al momento della pubblicazione

Note Legali

Questo strumento è destinato all'uso su sistemi di tua proprietà o per i quali hai esplicita autorizzazione scritta per il test. L'uso non autorizzato contro sistemi che non possiedi è illegale. Gli autori non si assumono alcuna responsabilità per un uso improprio.