CVE-2026-0257 — PAN-OS GlobalProtect 인증 우회

원격 탐지 PoC

탐지만 가능합니다. 악용하지 않습니다. 자격 증명을 제출하지 않습니다. 쿠키를 위조하지 않습니다.

개요

CVE-2026-0257은 Palo Alto Networks PAN-OS의 GlobalProtect 포털 및 게이트웨이에서 인증 우회 취약점(CWE-565 — 쿠키 검증 및 무결성 확인 없이 쿠키에 의존)입니다. 인증 재정의 쿠키가 활성화되고 특정 인증서 구성이 존재할 경우, 인증되지 않은 공격자가 보안 제한을 우회하고 무단 VPN 연결을 설정할 수 있습니다.

• 권고: https://security.paloaltonetworks.com/CVE-2026-0257
• CVSS 4.0: 4.7 (MEDIUM) / Base: 7.8
• CWE: CWE-565
• 영향을 받는 구성 요소: GlobalProtect Portal, GlobalProtect Gateway
• 영향을 받지 않음: Panorama, Cloud NGFW

영향을 받는 버전

취약점 노출을 위한 필수 구성

이 취약점은 포털 또는 게이트웨이에서 인증 재정의 쿠키가 활성화된 경우에만 적용됩니다. 확인 방법:

포털: 네트워크 → GlobalProtect → 포털 → 에이전트 → 에이전트 구성 → 인증 탭

• "인증 재정의를 위한 쿠키 생성" 또는 "인증 재정의를 위한 쿠키 수락"이 선택되어 있음

게이트웨이: 네트워크 → GlobalProtect → 게이트웨이 → 에이전트 → 클라이언트 설정 → 인증 재정의 탭

• "인증 재정의를 위한 쿠키 수락"이 선택되어 있음

이 도구

cve_2026_0257_check.py는 수동적 읽기 전용 원격 탐지를 수행합니다:

1. GP 포털/게이트웨이 탐지 — 표준 인증되지 않은 엔드포인트에서 GlobalProtect 존재 여부 확인
2. PAN-OS 버전 지문 수집 — Server 헤더, 로그인 페이지 HTML, /global-protect/portal/config.esp XML 응답에서 버전 읽기
3. 인증 재정의 쿠키 표시 — 쿠키 기반 인증 재정의가 활성화되었을 수 있는 동작 신호 찾기
4. 버전 범위 확인 — 감지된 버전을 권고에 정의된 모든 취약 범위와 비교

수행하지 않는 작업

• 자격 증명을 제출하지 않음
• 인증 쿠키를 위조하거나 재전송하지 않음
• VPN 연결을 시도하지 않음
• 대상에 아무것도 쓰거나 수정하지 않음

요구 사항

• Python 3.8+
• 타사 종속성 없음 (stdlib만 사용)

사용법

# 단일 대상 (기본 포트 443)
python3 cve_2026_0257_check.py vpn.example.com

# 사용자 지정 포트
python3 cve_2026_0257_check.py vpn.example.com:8443

# 여러 대상
python3 cve_2026_0257_check.py host1 host2 host3

# JSON 출력
python3 cve_2026_0257_check.py vpn.example.com --json

# 타임아웃 조정
python3 cve_2026_0257_check.py vpn.example.com --timeout 15

출력

============================================================
  Target  : vpn.example.com:443
  Verdict : LIKELY_VULNERABLE
============================================================
  GP Portal reachable  : True
  GP Gateway reachable : True
  PAN-OS version       : 11.2.7-h3
  Auth-cookie indicator: True
  Version vulnerable   : True

  Notes:
    • GlobalProtect portal page found at /global-protect/login.esp (HTTP 200)
    • GlobalProtect gateway endpoint present (HTTP 400)
    • Version from /global-protect/portal/config.esp: 11.2.7-h3
    • portal/config.esp returned HTTP 200 with body — may indicate auth-override cookie acceptance is enabled

  [!] Host appears to run a vulnerable PAN-OS version.
      Verify auth-override cookie config per the advisory:
      https://security.paloaltonetworks.com/CVE-2026-0257

판정 값

해결 방법

공식 권고에 따라:

1. 업그레이드 — 수정된 PAN-OS 버전으로 업그레이드 (위 표 참조)
2. 또는 인증 재정의 쿠키 전용 전용 인증서 사용 — 포털/게이트웨이 인증서를 재사용하지 않음
3. 또는 인증 재정의 완전히 비활성화 — 포털 및 게이트웨이 구성에서 관련 옵션 선택 해제

패치 후 사용자는 한 번 재인증해야 합니다. 쿠키가 더 안전한 방법으로 다시 생성되기 때문입니다.

공개

• 발견: Palo Alto Networks PSIRT에서 내부적으로 발견
• 공개일: 2026-05-13
• 악용 현황: 공개일 기준 알려진 악성 악용 사례 없음

법적 고지

이 도구는 귀하가 소유하거나 명시적 서면 승인을 받은 시스템에서 사용하기 위한 것입니다. 귀하가 소유하지 않은 시스템에 대해 무단으로 사용하는 것은 불법입니다. 저자는 오용에 대해 책임을 지지 않습니다.