Strumento di Indagine Non Distruttiva sull'Esposizione per PAN-OS CVE-2026-0300

Panoramica

Questo strumento è un'utility di indagine sull'esposizione non distruttiva per valutare se un servizio PAN-OS target possa esporre superfici accessibili dalla rete correlate a CVE-2026-0300.

Lo strumento è destinato a validazione difensiva autorizzata della sicurezza, revisione dell'esposizione degli asset e triage delle vulnerabilità. Non sfrutta la vulnerabilità, non invia payload di corruzione della memoria e non tenta di causare crash o compromettere il dispositivo target.

CVE Target

Questo strumento è progettato per la valutazione dell'esposizione relativa a:

• CVE: CVE-2026-0300
• Vendor: Palo Alto Networks
• Prodotto: PAN-OS
• Componente interessato: Portale di Autenticazione User-ID, noto anche come Captive Portal
• Tipo di vulnerabilità: Buffer overflow / scrittura fuori dai limiti
• Impatto: Potenziale esecuzione remota di codice non autenticata con privilegi di root sui dispositivi interessati
• Gravità: Critica
• CVSS: 9.3
• Maturità dello sfruttamento: ATTACCATA

Secondo Palo Alto Networks, CVE-2026-0300 interessa le distribuzioni PAN-OS in cui il Portale di Autenticazione User-ID è abilitato e raggiungibile da reti non fidate. I firewall PA-Series e VM-Series possono essere interessati. Prisma Access, Cloud NGFW e Panorama sono elencati come non interessati nell'avviso ufficiale.

Cosa Controlla Questo Strumento

Lo strumento esegue controlli sicuri a livello di rete e HTTP(S) per identificare se un target sembra esporre servizi correlati al portale PAN-OS.

Controlla:

• Raggiungibilità TCP per l'IP/porta specificati.
• Raggiungibilità HTTPS.
• Raggiungibilità HTTP quando si usa --scheme both o --scheme http.
• Solo metodi HTTP sicuri:
  • HEAD
  • GET
  • OPTIONS
• Percorsi correlati al portale, inclusi:
  • /
  • /php/login.php
  • /php/uid.php
  • /php/uidlogin.php
  • /sslmgr
  • /global-protect/login.esp
• Codici di stato delle risposte HTTP.
• Impronte di base delle risposte che possono indicare:
  • PAN-OS
  • Palo Alto Networks
  • Captive Portal
  • Portale di Autenticazione User-ID
  • GlobalProtect
  • Pagine di risposta
• Valutazione opzionale della versione PAN-OS auto-dichiarata usando --pan-os-ver.

La verifica del certificato HTTPS è disabilitata per impostazione predefinita perché i servizi amministrativi e del portale PAN-OS utilizzano spesso certificati autofirmati o emessi privatamente.

Cosa Non Fa Questo Strumento

Questo strumento non:

• Invia payload di sfruttamento.
• Invia buffer di corruzione della memoria.
• Tenta il bypass dell'autenticazione.
• Tenta l'esecuzione remota di codice.
• Esegue test di crash.
• Conferma la sfruttabilità.
• Modifica il dispositivo target.
• Si autentica a PAN-OS.
• Legge direttamente la configurazione PAN-OS.

Lo strumento fornisce solo una valutazione dell'esposizione osservabile esternamente dalla rete e, se viene fornito --pan-os-ver, una valutazione del rischio basata sulla versione auto-dichiarata.

Cosa Si Può Imparare dai Risultati

Lo strumento aiuta a rispondere alle seguenti domande:

1. La porta target è raggiungibile?

Lo strumento verifica se l'host scanner può stabilire una connessione TCP al target e alla porta specificati.

Esempio di risultato:

tcp=True
https=True

Ciò significa che la porta target è raggiungibile dall'host scanner e accetta connessioni HTTPS.

2. Il servizio si comporta come un servizio HTTP(S)?

Lo strumento invia richieste HTTP(S) sicure e registra i codici di stato delle risposte.

Esempi di risultati:

HTTPS HEAD /: HTTP/1.1 403 Forbidden
HTTPS GET /php/uid.php: HTTP/1.1 500 Internal Server Error

Ciò significa che il servizio è raggiungibile e sta elaborando richieste HTTP(S).

3. I percorsi correlati al portale sono raggiungibili esternamente?

Lo strumento controlla i percorsi comunemente associati alle funzionalità del portale o della pagina di risposta PAN-OS.

Esempi:

/php/login.php
/php/uid.php
/php/uidlogin.php

Risposte non-404 da questi percorsi possono indicare che i gestori correlati al portale sono raggiungibili dall'host scanner.

4. Il target sembra un portale PAN-OS/User-ID?

Lo strumento cerca indicatori testuali leggeri nelle intestazioni delle risposte, nei titoli, nei reindirizzamenti, nei cookie e nei campioni del corpo della risposta.

Esempi di indicatori:

palo alto
pan-os
globalprotect
captive portal
user-id
authentication portal
response page

Questi indicatori aumentano la fiducia che il servizio esposto sia correlato alle funzionalità del portale PAN-OS.

5. La versione PAN-OS fornita è interessata?

Se viene fornito --pan-os-ver, lo strumento confronta la versione fornita con le soglie interessate/corrette della tabella dell'avviso ufficiale incorporata nello script.

Esempio:

--pan-os-ver 10.2.4-h2

Esempio di risultato:

patch_status: AFFECTED_BY_VERSION
version_status: AFFECTED_VERSION
combined_risk=HIGH

Se --pan-os-ver non viene fornito, lo strumento visualizza la tabella delle versioni interessate/corrette e segnala lo stato della versione come sconosciuto.

Installazione

Questo strumento utilizza solo moduli della libreria standard Python.

Non sono richieste dipendenze Python esterne.

python3 --version

Consigliato:

Python 3.8+

È possibile utilizzare un requirements.txt minimale:

# Nessuna dipendenza esterna richiesta.
# Questo strumento utilizza solo moduli della libreria standard Python.

Utilizzo di Base

Scansione di un singolo target e porta

python3 panos_cve_2026_0300_diag.py \
  -t 172.16.20.254 \
  -p 6082

Scansione con una versione PAN-OS auto-dichiarata

python3 panos_cve_2026_0300_diag.py \
  -t 172.16.20.254 \
  -p 6082 \
  --pan-os-ver 10.2.4-h2

Mostra osservazioni dettagliate per richiesta

python3 panos_cve_2026_0300_diag.py \
  -t 172.16.20.254 \
  -p 6082 \
  --pan-os-ver 10.2.4-h2 \
  --verbose

Sonda sia HTTPS che HTTP

python3 panos_cve_2026_0300_diag.py \
  -t 172.16.20.254 \
  -p 6082 \
  --scheme both

Utilizza sondaggio minimale dei percorsi

Per impostazione predefinita, lo strumento sonda tutti i percorsi noti sicuri.

Usa --minimal per controllare solo:

• /
• /php/login.php

python3 panos_cve_2026_0300_diag.py \
  -t 172.16.20.254 \
  -p 6082 \
  --minimal

Scansione di più porte

python3 panos_cve_2026_0300_diag.py \
  -t 172.16.20.254 \
  -p 443,6082,6081-6083 \
  --scheme both

Scansione di un intervallo CIDR

python3 panos_cve_2026_0300_diag.py \
  -t 172.16.20.0/24 \
  -p 6082 \
  --csv-out results.csv \
  --json-out results.json

Scansione di target da un file

Crea targets.txt:

172.16.20.254
172.16.20.253
172.16.21.0/24

Esegui:

python3 panos_cve_2026_0300_diag.py \
  -T targets.txt \
  -p 6082 \
  --json-out results.json

Opzioni della Riga di Comando