🚨 CVE-2026-0257 - Vulnerabilidades de Bypass de Autenticação

PAN-OS: Vulnerabilidades de Bypass de Autenticação no GlobalProtect

Bypass de Autenticação no Portal e Gateway do GlobalProtect

📌 Visão Geral

CVE-2026-0257 é uma vulnerabilidade de bypass de autenticação que afeta os componentes de portal e gateway do GlobalProtect do software PAN-OS da Palo Alto Networks.

Um atacante remoto não autenticado pode contornar as restrições de segurança e estabelecer uma conexão VPN não autorizada em firewalls afetados.

Nota: Panorama e Cloud NGFW não são afetados.

⚠️ Severidade & Pontuação

Vetor (exemplo CVSS 4.0):
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:N/VA:N/SC:H/SI:H/SA:N

📖 Descrição

Vulnerabilidades de bypass de autenticação no portal e gateway do GlobalProtect do software PAN-OS® da Palo Alto Networks permitem que o atacante contorne as restrições de segurança e estabeleça uma conexão VPN não autorizada.

O problema tem origem em CWE-565: Dependência de Cookies sem Validação e Verificação de Integridade.

🛠 Produtos Afetados

• PAN-OS versões anteriores às correções (10.2, 11.1, 11.2, 12.1)
• Prisma Access (versões específicas)
• Firewalls com portal ou gateway GlobalProtect configurado

Não Afetados:

• Panorama
• Cloud NGFW

🔍 Configuração Vulnerável

Esta vulnerabilidade requer a seguinte configuração para ser explorável:

1. Portal ou gateway do GlobalProtect está configurado
2. Cookies de substituição de autenticação estão ativados
3. O certificado de criptografia/descriptografia do cookie de substituição de autenticação é reutilizado com outro recurso

💥 Impacto

• Acesso VPN não autorizado a redes internas
• Possível movimento lateral por atacantes
• Bypass da autenticação multifator (em certas configurações)
• Risco significativo para perímetros empresariais

Alto impacto na confidencialidade e integridade das redes protegidas.

🔥 Status de Exploração

• Ativamente Explorado na natureza (a partir de 17 de maio de 2026)
• Rapid7 observou exploração bem-sucedida
• Palo Alto Networks confirmou tentativas de exploração limitadas
• Adicionado ao catálogo CISA Known Exploited Vulnerabilities (KEV) em 29 de maio de 2026

⚙️ Uso:

python3 CVE-2026-0257.py --target vpn.company.com
python3 CVE-2026-0257.py --target 192.168.1.100 --user administrator --verbose

✅ Saída Bem-sucedida Esperada:

╔══════════════════════════════════════════════════════════════╗
║         CVE-2026-0257 - GlobalProtect Auth Bypass            ║
║               Public Key Cookie Forging Exploit              ║
║                     Author: 0xBlackash                       ║
╚══════════════════════════════════════════════════════════════╝

[*] Connecting to vpn.company.com:443 to extract certificate chain...
   [+] Found 2048-bit RSA key

[*] Forging authentication cookie for user: admin

[1/1] Trying public key...
   Cookie (first 60 chars): eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCJ9...

[+] SUCCESS! Authentication Bypass Achieved!
    Username : admin
    Cookie   : eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCJ9...

✅ Correções & Atualizações

Versões Corrigidas (aplique urgentemente):

Prisma Access também possui versões corrigidas correspondentes.

🛡️ Mitigações

Soluções Alternativas Imediatas (caso a correção não seja possível):

• Desabilite os cookies de substituição de autenticação se não forem necessários
• Evite a reutilização de certificados para a substituição de autenticação do GlobalProtect
• Monitore os logs do GlobalProtect em busca de conexões VPN suspeitas
• Restrinja o acesso de gerenciamento e ative políticas de segurança rigorosas

🔗 Referências

• Comunicado Oficial da Palo Alto Networks
• Detalhes no NVD
• Análise da Rapid7
• Catálogo CISA KEV

📅 Linha do Tempo