---

📌 Visão Geral

CVE-2026-0257 é uma vulnerabilidade de bypass de autenticação que afeta os componentes de portal e gateway do GlobalProtect do software PAN-OS da Palo Alto Networks.

Um atacante remoto não autenticado pode contornar as restrições de segurança e estabelecer uma conexão VPN não autorizada com firewalls afetados.

Nota: O Panorama e o Cloud NGFW não são afetados.

---

⚠️ Severidade e Pontuação

Métrica	Pontuação	Classificação
CVSS v4.0	7.8 / 4.7	Alta / Média
CVSS v3.x	Até 9.8	Crítica
Urgência	ALTÍSSIMA	-

Vetor (exemplo CVSS 4.0):
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:N/VA:N/SC:H/SI:H/SA:N

---

📖 Descrição

As vulnerabilidades de bypass de autenticação no portal e gateway do GlobalProtect do software PAN-OS® da Palo Alto Networks permitem que o atacante contorne as restrições de segurança e estabeleça uma conexão VPN não autorizada.

O problema decorre do CWE-565: Dependência de Cookies sem Validação e Verificação de Integridade.

---

🛠 Produtos Afetados

• Versões do PAN-OS anteriores às versões corrigidas (10.2, 11.1, 11.2, 12.1)
• Prisma Access (versões específicas)
• Firewalls com portal ou gateway GlobalProtect configurado

Não Afetados:

• Panorama
• Cloud NGFW

---

🔍 Configuração Vulnerável

Esta vulnerabilidade requer a seguinte configuração para ser explorável:

1. O portal ou gateway GlobalProtect está configurado
2. Os cookies de substituição de autenticação estão habilitados
3. O certificado de criptografia/descriptografia do cookie de substituição de autenticação é reutilizado com outro recurso

---

💥 Impacto

• Acesso VPN não autorizado a redes internas
• Potencial movimento lateral por parte dos atacantes
• Bypass da autenticação multifator (em determinadas configurações)
• Risco significativo para os perímetros corporativos

Alto impacto na confidencialidade e integridade das redes protegidas.

---

🔥 Status de Exploração

• Explorada Ativamente em campo (a partir de 17 de maio de 2026)
• A Rapid7 observou exploração bem-sucedida
• A Palo Alto Networks confirmou tentativas limitadas de exploração
• Adicionada ao catálogo CISA Known Exploited Vulnerabilities (KEV) em 29 de maio de 2026

---

⚙️ Uso:

python3 CVE-2026-0257.py --target vpn.company.com
python3 CVE-2026-0257.py --target 192.168.1.100 --user administrator --verbose

✅ Saída de Sucesso Esperada:

╔══════════════════════════════════════════════════════════════╗
║         CVE-2026-0257 - GlobalProtect Auth Bypass            ║
║               Public Key Cookie Forging Exploit              ║
║                     Author: 0xBlackash                       ║
╚══════════════════════════════════════════════════════════════╝

[*] Connecting to vpn.company.com:443 to extract certificate chain...
   [+] Found 2048-bit RSA key

[*] Forging authentication cookie for user: admin

[1/1] Trying public key...
   Cookie (first 60 chars): eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCJ9...

[+] SUCCESS! Authentication Bypass Achieved!
    Username : admin
    Cookie   : eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCJ9...

✅ Patches e Correções

Versões Corrigidas (aplique com urgência):

Versão do PAN-OS	Versão Corrigida
12.1	≥ 12.1.4-h6, ≥ 12.1.7
11.2	≥ 11.2.4-h17, ≥ 11.2.7-h14, etc.
11.1	≥ 11.1.4-h33, ≥ 11.1.7-h6, etc.
10.2	≥ 10.2.7-h34, ≥ 10.2.10-h36, etc.

O Prisma Access também possui versões corrigidas correspondentes.

---

🛡️ Mitigações

Soluções Alternativas Imediatas (caso a correção não seja possível):

• Desative os cookies de substituição de autenticação se não forem necessários
• Evite a reutilização de certificados para a substituição de autenticação do GlobalProtect
• Monitore os logs do GlobalProtect em busca de conexões VPN suspeitas
• Restrinja o acesso de gerenciamento e habilite políticas de segurança rigorosas

---

🔗 Referências

• Aviso Oficial da Palo Alto Networks
• Detalhes no NVD
• Análise da Rapid7
• Catálogo KEV da CISA

---

📅 Cronologia

Data	Evento
2026-05-13	CVE Publicada + Aviso Inicial
2026-05-17	Exploração observada em ambiente real
2026-05-29	Atualização da Palo Alto + inclusão no KEV da CISA
2026-05-30	Este Relatório

---