PAN-OS CVE-2026-0300 비파괴적 노출 조사 도구

개요

이 도구는 대상 PAN-OS 서비스가 CVE-2026-0300과 관련된 네트워크 접근 가능 표면을 노출할 수 있는지 평가하기 위한 비파괴적 노출 조사 유틸리티입니다.

이 도구는 승인된 방어적 보안 검증, 자산 노출 검토, 취약점 분류를 위해 설계되었습니다. 취약점을 악용하지 않으며, 메모리 손상 페이로드를 전송하지 않으며, 대상 장치를 충돌시키거나 손상시키려 시도하지 않습니다.

대상 CVE

이 도구는 다음 관련 노출 평가를 위해 설계되었습니다:

• CVE: CVE-2026-0300
• 공급업체: Palo Alto Networks
• 제품: PAN-OS
• 영향 구성 요소: User-ID 인증 포털(User-ID Authentication Portal), 일명 캡티브 포털(Captive Portal)
• 취약점 유형: 버퍼 오버플로 / 범위 밖 쓰기
• 영향: 영향을 받는 장치에서 루트 권한으로 인증되지 않은 원격 코드 실행 가능성
• 심각도: 치명적(Critical)
• CVSS: 9.3
• 악용 성숙도: 공격됨(ATTACKED)

Palo Alto Networks에 따르면, CVE-2026-0300은 User-ID 인증 포털이 활성화되고 신뢰할 수 없는 네트워크에서 접근 가능한 PAN-OS 배포에 영향을 미칩니다. PA 시리즈 및 VM 시리즈 방화벽이 영향을 받을 수 있습니다. Prisma Access, Cloud NGFW 및 Panorama는 공식 권고에서 영향을 받지 않는 것으로 명시되어 있습니다.

이 도구가 확인하는 사항

이 도구는 대상이 PAN-OS 포털 관련 서비스를 노출하는지 식별하기 위해 안전한 네트워크 및 HTTP(S) 수준 검사를 수행합니다.

다음을 확인합니다:

• 지정된 IP/포트에 대한 TCP 연결 가능성.
• HTTPS 연결 가능성.
• --scheme both 또는 --scheme http 사용 시 HTTP 연결 가능성.
• 안전한 HTTP 메서드만 사용:
  • HEAD
  • GET
  • OPTIONS
• 포털 관련 경로:
  • /
  • /php/login.php
  • /php/uid.php
  • /php/uidlogin.php
  • /sslmgr
  • /global-protect/login.esp
• HTTP 응답 상태 코드.
• 다음을 나타낼 수 있는 기본 응답 지문:
  • PAN-OS
  • Palo Alto Networks
  • 캡티브 포털(Captive Portal)
  • User-ID 인증 포털
  • GlobalProtect
  • 응답 페이지(Response Pages)
• --pan-os-ver를 사용한 선택적 자체 보고 PAN-OS 버전 평가.

HTTPS 인증서 검증은 기본적으로 비활성화되어 있습니다. PAN-OS 관리 및 포털 서비스는 종종 자체 서명 또는 비공개 발급 인증서를 사용하기 때문입니다.

이 도구가 수행하지 않는 사항

이 도구는 다음을 수행하지 않습니다:

• 악용 페이로드 전송.
• 메모리 손상 버퍼 전송.
• 인증 우회 시도.
• 원격 코드 실행 시도.
• 충돌 테스트 수행.
• 악용 가능성 확인.
• 대상 장치 수정.
• PAN-OS 인증.
• PAN-OS 구성 직접 읽기.

이 도구는 외부 네트워크 관찰 가능 노출 평가와, --pan-os-ver가 제공된 경우 자체 보고 버전 기반 위험 평가만 제공합니다.

결과에서 얻을 수 있는 정보

이 도구는 다음 질문에 답하는 데 도움이 됩니다:

1. 대상 포트에 연결할 수 있습니까?

이 도구는 스캐너 호스트가 지정된 대상 및 포트에 TCP 연결을 설정할 수 있는지 확인합니다.

예시 결과:

tcp=True
https=True

이는 대상 포트가 스캐너 호스트에서 연결 가능하고 HTTPS 연결을 수락함을 의미합니다.

2. 서비스가 HTTP(S) 서비스처럼 동작합니까?

이 도구는 안전한 HTTP(S) 요청을 전송하고 응답 상태 코드를 기록합니다.

예시 결과:

HTTPS HEAD /: HTTP/1.1 403 Forbidden
HTTPS GET /php/uid.php: HTTP/1.1 500 Internal Server Error

이는 서비스에 연결할 수 있고 HTTP(S) 요청을 처리하고 있음을 의미합니다.

3. 포털 관련 경로가 외부에서 연결 가능합니까?

이 도구는 PAN-OS 포털 또는 응답 페이지 기능과 일반적으로 연관된 경로를 확인합니다.

예시:

/php/login.php
/php/uid.php
/php/uidlogin.php

이러한 경로에서 404가 아닌 응답은 포털 관련 핸들러가 스캐너 호스트에서 연결 가능함을 나타낼 수 있습니다.

4. 대상이 PAN-OS/User-ID 포털처럼 보입니까?

이 도구는 응답 헤더, 제목, 리디렉션, 쿠키 및 응답 본문 샘플에서 가벼운 텍스트 지표를 찾습니다.

지표 예시:

palo alto
pan-os
globalprotect
captive portal
user-id
authentication portal
response page

이러한 지표는 노출된 서비스가 PAN-OS 포털 기능과 관련되어 있을 가능성을 높입니다.

5. 제공된 PAN-OS 버전이 영향을 받습니까?

--pan-os-ver가 제공되면, 이 도구는 제공된 버전을 스크립트에 내장된 공식 권고 테이블의 영향/수정 임계값과 비교합니다.

예시:

--pan-os-ver 10.2.4-h2

예시 결과:

patch_status: AFFECTED_BY_VERSION
version_status: AFFECTED_VERSION
combined_risk=HIGH

--pan-os-ver가 제공되지 않으면, 이 도구는 영향/수정 버전 테이블을 표시하고 버전 상태를 알 수 없음으로 보고합니다.

설치

이 도구는 Python 표준 라이브러리 모듈만 사용합니다.

외부 Python 종속성이 필요하지 않습니다.

python3 --version

권장:

Python 3.8+

최소 requirements.txt를 사용할 수 있습니다:

# 외부 종속성이 필요하지 않습니다.
# 이 도구는 Python 표준 라이브러리 모듈만 사용합니다.

기본 사용법

단일 대상 및 포트 스캔

python3 panos_cve_2026_0300_diag.py \
  -t 172.16.20.254 \
  -p 6082

자체 보고 PAN-OS 버전으로 스캔

python3 panos_cve_2026_0300_diag.py \
  -t 172.16.20.254 \
  -p 6082 \
  --pan-os-ver 10.2.4-h2

요청별 상세 관찰 표시

python3 panos_cve_2026_0300_diag.py \
  -t 172.16.20.254 \
  -p 6082 \
  --pan-os-ver 10.2.4-h2 \
  --verbose

HTTPS 및 HTTP 모두 프로브

python3 panos_cve_2026_0300_diag.py \
  -t 172.16.20.254 \
  -p 6082 \
  --scheme both

최소 경로 프로브 사용

기본적으로 이 도구는 모든 안전한 알려진 경로를 프로브합니다.

--minimal을 사용하여 다음만 확인합니다:

• /
• /php/login.php

python3 panos_cve_2026_0300_diag.py \
  -t 172.16.20.254 \
  -p 6082 \
  --minimal

여러 포트 스캔

python3 panos_cve_2026_0300_diag.py \
  -t 172.16.20.254 \
  -p 443,6082,6081-6083 \
  --scheme both

CIDR 범위 스캔

python3 panos_cve_2026_0300_diag.py \
  -t 172.16.20.0/24 \
  -p 6082 \
  --csv-out results.csv \
  --json-out results.json

파일에서 대상 스캔

targets.txt 생성:

172.16.20.254
172.16.20.253
172.16.21.0/24

실행:

python3 panos_cve_2026_0300_diag.py \
  -T targets.txt \
  -p 6082 \
  --json-out results.json

명령줄 옵션

결과 해석

이 도구는 세 가지 주요 평가 유형을 생성합니다:

1. 노출 수준
2. 버전/패치 상태
3. 결합 위험

노출 수준 참조

신뢰도 참조

HTTP 상태 해석

버전 상태 참조

패치 상태 참조

결합 위험 참조

예시 출력

예시 명령:

python3 panos_cve_2026_0300_diag.py \
  -t 172.16.20.254 \
  -p 6082 \
  --pan-os-ver 10.2.4-h2 \
  --verbose

예시 결과:

[WARN] 172.16.20.254:6082 -> POSSIBLE_EXPOSED_AUTH_PORTAL / confidence=HIGH / combined_risk=HIGH
  exposure_reason: Portal-related paths appear reachable and behave like application handlers, but PAN-OS product/version cannot be confirmed remotely.
  patch_status: AFFECTED_BY_VERSION
  version_status: AFFECTED_VERSION
  pan_os_version: 10.2.4-h2
  normalized_version: 10.2.4-h2
  version_reason: Version is older than earliest fixed threshold 10.2.7-h34.
  combined_reason: Exposure indicators were observed and the supplied PAN-OS version is affected by the version table.
  evidence:
    - HTTPS HEAD /: HTTP/1.1 403 Forbidden
    - HTTPS HEAD /php/login.php: HTTP/1.1 405 Not Allowed
    - HTTPS GET /php/uid.php: HTTP/1.1 500 Internal Server Error
    - Portal-related PHP path returned 5xx, suggesting application handler exposure.
    - Multiple portal-related PHP paths responded with non-404 statuses: /php/login.php, /php/uid.php, /php/uidlogin.php

이는 다음을 의미합니다:

• 대상 포트에 연결할 수 있습니다.
• HTTPS를 사용할 수 있습니다.
• 포털 관련 경로가 외부에서 연결 가능합니다.
• 최소 하나의 포털 관련 경로가 5xx 응답을 반환했습니다.
• 제공된 PAN-OS 버전이 내장된 버전 테이블에 따라 영향을 받습니다.
• 결합 위험이 높습니다.

종료 코드

중요한 제한 사항

이 도구는 네트워크만으로 모든 것을 판단할 수 없습니다.

다음을 직접 확인할 수 없습니다:

• PAN-OS 구성에서 User-ID 인증 포털이 활성화되어 있는지 여부.
• 특정 인터페이스 관리 프로필에서 응답 페이지(Response Pages)가 활성화되어 있는지 여부.
• 서비스가 모든 신뢰할 수 없는 네트워크에서 연결 가능한지 여부.
• 위협 예방(Threat Prevention) 서명이 활성화되어 있는지 여부.
• 대상이 실제로 악용 가능한지 여부.
• 대상이 손상되었는지 여부.

결과는 악용 가능성의 증거가 아닌 노출 및 분류 신호로 처리해야 합니다.

권장 후속 조치

도구가 POSSIBLE_EXPOSED_AUTH_PORTAL, LIKELY_EXPOSED_AUTH_PORTAL 또는 HIGH를 보고하면, PAN-OS 장치에서 다음을 검토하십시오:

• 설치된 PAN-OS 버전 확인.
• User-ID 인증 포털 / 캡티브 포털이 활성화되어 있는지 확인.
• 신뢰할 수 없는 네트워크에서 연결 가능한 인터페이스에서 응답 페이지(Response Pages)가 활성화되어 있는지 확인.
• 서비스가 인터넷 또는 기타 신뢰할 수 없는 영역에서 연결 가능한지 확인.
• 관련 위협 예방 콘텐츠 및 서명이 설치되고 활성화되어 있는지 확인.
• 포털 관련 경로에 대한 비정상적인 요청이 있는지 시스템, 위협 및 트래픽 로그 검토.
• 공급업체 권장 수정 버전 또는 완화 조치 적용.

공식 정보 링크

• CVE-2026-0300에 대한 Palo Alto Networks 보안 권고: https://security.paloaltonetworks.com/CVE-2026-0300

• Palo Alto Networks 보안 권고 포털: https://security.paloaltonetworks.com/

• CISA 알려진 악용 취약점 카탈로그: https://www.cisa.gov/known-exploited-vulnerabilities-catalog

• NIST 국가 취약점 데이터베이스 항목: https://nvd.nist.gov/vuln/detail/CVE-2026-0300

참고 사항

프로덕션 결정을 내리기 전에 항상 최신 공급업체 권고를 확인하십시오. Palo Alto Networks가 권고를 수정하는 경우 이 도구의 영향/수정 버전 테이블을 검토하고 업데이트해야 합니다.

이 도구는 승인된 방어적 사용만을 위한 것입니다.