CVE-2026-0265 취약점 평가 도구

세션 인증이나 상태 변경 없이 Palo Alto Networks PAN-OS GlobalProtect 포털이 CVE-2026-0265에 취약한지 안전하게 판별합니다.

설명

CVE-2026-0265는 PAN-OS 및 Panorama에 영향을 미치는 원격 인증 우회 취약점으로, 인증 프로파일이 Cloud Authentication Service(CAS)를 사용할 때 트리거됩니다. 취약한 libpanmp_mp.so의 pan_auth_verify 함수는 공격자가 제어하는 alg 헤더만을 기준으로 JSON Web Token 서명 검증을 수행합니다. 즉, alg=HS256과 서명으로 HMAC-SHA256(cas_public_key_pem, header.payload)를 사용하는 위조된 JWT가 실제 RS256 서명된 CAS 토큰인 것처럼 수락되어, 모든 공격자가 모든 사용자를 가장할 수 있습니다.

이 버그는 GlobalProtect 포털 (/saml/acs.esp, VPN 세션 획득) 및 관리 UI (/SAML20/SP/ACS, 전체 PAN-OS 관리자 권한 획득)의 두 가지 공격 표면을 통해 접근 가능합니다. 이 도구는 GlobalProtect 포털 표면만 다룹니다.

작동 방식

단일 익명 GET /global-protect/prelogin.esp 요청으로 권위 있는 판정에 필요한 모든 정보를 얻을 수 있습니다:

1. 전제 조건 요소 — 프리로그인 응답에는 포털의 인증 구성에 의해 직접 설정된 XML 요소 <cas-auth>yes|no</cas-auth>가 포함됩니다. yes 값은 이 리스너에 대해 CVE 전제 조건이 충족되었음을 확인합니다.
2. 빌드 요소 — CAS가 연결된 경우, 동일한 응답의 <saml-request> 필드에 아웃바운드 CAS 요청 토큰이 포함됩니다. 이를 디코딩하면 방화벽의 권위 있는 버전 문자열을 얻을 수 있으며, 이는 벤더 권고의 기본 버전별 패치-핫픽스 매트릭스와 교차 참조되어 판정을 생성합니다.
3. .saas 단락 — Palo Alto의 설명(2026-05-21)에 따라 PA 클라우드 관리 빌드는 기본 베이스 빌드 번호와 관계없이 영향을 받지 않습니다.

출력은 의도적으로 최소화됨

스크립트는 판정, 방화벽이 보고한 PanOS 버전(방어자가 자신의 인벤토리와 평가를 교차 검증할 수 있음), 기본 분류 컨텍스트(prelogin_status, prelogin_msg, http_status, 오류 메모)를 출력합니다. 파이프라인에 더 풍부한 장치 메타데이터가 필요한 경우 대상 URL을 자체 인벤토리와 교차 참조하세요.

설치

git clone https://github.com/BishopFox/CVE-2026-0265-check
cd CVE-2026-0265-check
pip install requests

Python 3.9+ 및 requests 패키지가 필요합니다.

사용법

하나 이상의 대상을 위치 인수, --targets-file 또는 stdin을 통해 전달하세요. 호스트 이름 및 host:port 문자열은 자동으로 https://로 감싸집니다.

python3 CVE-2026-0265-check.py [options] <target> [<target>...]

기본 출력은 stdout의 대상당 하나의 JSON 객체입니다 (jq 호환).

판정

스크립트는 대상당 세 가지 판정 클래스 중 하나를 출력합니다. 확정 판정은 해당 대상의 취약성 질문에 권위 있게 답변합니다. 미확정 판정은 프로브가 결론에 도달할 수 없었으며 운영자의 후속 조치가 필요함을 나타냅니다.

확정 — 취약함

확정 — 취약하지 않음

미확정 — 운영자 후속 조치 필요

예제 출력

간략 모드, 혼합 대상

$ python3 CVE-2026-0265-check.py -b -f targets.txt
https://gp1.customer.example         VULNERABLE                       11.1.6-h23
https://gp2.customer.example         PATCHED                          11.1.6-h32
https://vpn.cloud.customer.example   NOT-AFFECTED-SAAS                11.2.7-h9.saas
https://mgmt.customer.example        NOT-AFFECTED-NO-CAS              -
https://www.customer.example         NOT-AFFECTED-NOT-GLOBALPROTECT   -
https://internal-vpn.customer.example UNDETERMINED-MTLS-GATED         -

JSON 모드 (기본)

$ python3 CVE-2026-0265-check.py gp.customer.example | jq .
{
  "target": "https://gp.customer.example",
  "verdict": "VULNERABLE",
  "panos_version": "11.1.6-h23",
  "prelogin_status": "Success",
  "http_status": 200,
  "notes": [
    "11.1.6-h23 is below the advisory's patched hotfix for this base."
  ]
}

낮은 동시성으로 스캔

gpsvc는 연속 프로빙 시 rate-limit를 적용합니다 — 스크립트는 각 HTTP 503를 증가하는 백오프로 재시도하지만, -c 5와 적당한 -t는 대규모 플릿에 친화적입니다:

cat all-targets.txt | python3 CVE-2026-0265-check.py -b -c 5

전제 조건

스크립트는 다음 조건에서만 확정 판정을 생성할 수 있습니다:

• 대상이 운영자의 가시 지점에서 도달 가능해야 합니다.
• 대상이 PAN-OS GlobalProtect 포털이어야 합니다 (비 PAN-OS 호스트의 응답은 NOT-AFFECTED-NOT-GLOBALPROTECT 또는 UNDETERMINED-ERROR로 해석됨).
• 프리로그인 응답이 mTLS에 의해 게이트되지 않아야 합니다 (그렇지 않으면 UNDETERMINED-MTLS-GATED) 또는 공격적인 User-Agent 검사에 의해 게이트되지 않아야 합니다 (그렇지 않으면 UNDETERMINED-VERSION-GATED).

라이선스

MIT 라이선스에 따라 배포됩니다.

법적 고지

사전 상호 동의 없이 대상을 공격하기 위해 이 도구를 사용하는 것은 불법입니다. 모든 해당 지역, 주, 연방 법률을 준수하는 것은 최종 사용자의 책임입니다. 개발자는 어떠한 책임도 지지 않으며 이 프로그램으로 인한 오용이나 손해에 대해 책임을 지지 않습니다.

참고 자료

• Bishop Fox 블로그
• Palo Alto Networks 권고 CVE-2026-0265
• NVD — CVE-2026-0265