Ferramenta de Levantamento Não Destrutivo de Exposição para PAN-OS CVE-2026-0300

Visão Geral

Esta ferramenta é um utilitário não destrutivo de levantamento de exposição para avaliar se um serviço PAN-OS alvo pode expor superfícies acessíveis pela rede relacionadas à CVE-2026-0300.

A ferramenta destina-se à validação defensiva autorizada de segurança, revisão de exposição de ativos e triagem de vulnerabilidades. Ela não explora a vulnerabilidade, não envia payloads de corrupção de memória e não tenta derrubar ou comprometer o dispositivo alvo.

CVE Alvo

Esta ferramenta foi projetada para avaliação de exposição relacionada a:

• CVE: CVE-2026-0300
• Fabricante: Palo Alto Networks
• Produto: PAN-OS
• Componente afetado: Portal de Autenticação User-ID, também conhecido como Captive Portal
• Tipo de vulnerabilidade: Estouro de buffer / gravação fora dos limites
• Impacto: Potencial execução remota de código não autenticada com privilégios de root em dispositivos afetados
• Gravidade: Crítica
• CVSS: 9.3
• Maturidade da exploração: ATACADA

De acordo com a Palo Alto Networks, a CVE-2026-0300 afeta implantações PAN-OS onde o Portal de Autenticação User-ID está habilitado e acessível a partir de redes não confiáveis. Firewalls das séries PA e VM podem ser afetados. Prisma Access, Cloud NGFW e Panorama são listados como não afetados no aviso oficial.

O Que Esta Ferramenta Verifica

A ferramenta realiza verificações seguras de rede e no nível HTTP(S) para identificar se um alvo parece expor serviços relacionados ao portal PAN-OS.

Ela verifica:

• Acessibilidade TCP para o IP/porta especificado.
• Acessibilidade HTTPS.
• Acessibilidade HTTP quando --scheme both ou --scheme http é usado.
• Apenas métodos HTTP seguros:
  • HEAD
  • GET
  • OPTIONS
• Caminhos relacionados ao portal, incluindo:
  • /
  • /php/login.php
  • /php/uid.php
  • /php/uidlogin.php
  • /sslmgr
  • /global-protect/login.esp
• Códigos de status de resposta HTTP.
• Impressões digitais básicas de resposta que podem indicar:
  • PAN-OS
  • Palo Alto Networks
  • Captive Portal
  • Portal de Autenticação User-ID
  • GlobalProtect
  • Páginas de resposta
• Avaliação opcional da versão PAN-OS autoinformada usando --pan-os-ver.

A verificação de certificado HTTPS está desabilitada por padrão porque os serviços administrativos e de portal do PAN-OS frequentemente usam certificados autoassinados ou emitidos de forma privada.

O Que Esta Ferramenta Não Faz

Esta ferramenta não:

• Envia payloads de exploração.
• Envia buffers de corrupção de memória.
• Tenta contornar autenticação.
• Tenta execução remota de código.
• Realiza testes de travamento.
• Confirma explorabilidade.
• Modifica o dispositivo alvo.
• Autentica no PAN-OS.
• Lê a configuração do PAN-OS diretamente.

A ferramenta fornece apenas uma avaliação de exposição observável externamente pela rede e, se --pan-os-ver for fornecido, uma avaliação de risco baseada na versão autoinformada.

O Que Você Pode Aprender com os Resultados

A ferramenta ajuda a responder às seguintes perguntas:

1. A porta alvo está acessível?

A ferramenta verifica se o host do scanner pode estabelecer uma conexão TCP com o alvo e porta especificados.

Exemplo de descoberta:

tcp=True
https=True

Isso significa que a porta alvo está acessível a partir do host do scanner e aceita conexões HTTPS.

2. O serviço se comporta como um serviço HTTP(S)?

A ferramenta envia solicitações HTTP(S) seguras e registra os códigos de status de resposta.

Exemplos de descobertas:

HTTPS HEAD /: HTTP/1.1 403 Forbidden
HTTPS GET /php/uid.php: HTTP/1.1 500 Internal Server Error

Isso significa que o serviço está acessível e está processando solicitações HTTP(S).

3. Os caminhos relacionados ao portal estão acessíveis externamente?

A ferramenta verifica caminhos comumente associados à funcionalidade de portal ou página de resposta do PAN-OS.

Exemplos:

/php/login.php
/php/uid.php
/php/uidlogin.php

Respostas diferentes de 404 nesses caminhos podem indicar que os manipuladores relacionados ao portal estão acessíveis a partir do host do scanner.

4. O alvo parece ser um portal PAN-OS/User-ID?

A ferramenta procura indicadores textuais leves em cabeçalhos de resposta, títulos, redirecionamentos, cookies e amostras do corpo da resposta.

Exemplos de indicadores:

palo alto
pan-os
globalprotect
captive portal
user-id
authentication portal
response page

Esses indicadores aumentam a confiança de que o serviço exposto está relacionado à funcionalidade de portal do PAN-OS.

5. A versão PAN-OS fornecida é afetada?

Se --pan-os-ver for fornecido, a ferramenta compara a versão fornecida com os limites de afetado/corrigido da tabela de aviso oficial incorporada no script.

Exemplo:

--pan-os-ver 10.2.4-h2

Exemplo de resultado:

patch_status: AFFECTED_BY_VERSION
version_status: AFFECTED_VERSION
combined_risk=HIGH

Se --pan-os-ver não for fornecido, a ferramenta exibe a tabela de versões afetadas/corrigidas e informa o status da versão como desconhecido.

Instalação

Esta ferramenta usa apenas módulos da biblioteca padrão do Python.

Nenhuma dependência externa do Python é necessária.

python3 --version

Recomendado:

Python 3.8+

Um requirements.txt mínimo pode ser usado:

# Nenhuma dependência externa necessária.
# Esta ferramenta usa apenas módulos da biblioteca padrão do Python.

Uso Básico

Escanear um único alvo e porta

python3 panos_cve_2026_0300_diag.py \
  -t 172.16.20.254 \
  -p 6082

Escanear com uma versão PAN-OS autoinformada

python3 panos_cve_2026_0300_diag.py \
  -t 172.16.20.254 \
  -p 6082 \
  --pan-os-ver 10.2.4-h2

Mostrar observações detalhadas por solicitação

python3 panos_cve_2026_0300_diag.py \
  -t 172.16.20.254 \
  -p 6082 \
  --pan-os-ver 10.2.4-h2 \
  --verbose

Testar HTTPS e HTTP

python3 panos_cve_2026_0300_diag.py \
  -t 172.16.20.254 \
  -p 6082 \
  --scheme both

Usar sondagem mínima de caminhos

Por padrão, a ferramenta testa todos os caminhos conhecidos seguros.

Use --minimal para verificar apenas:

• /
• /php/login.php

python3 panos_cve_2026_0300_diag.py \
  -t 172.16.20.254 \
  -p 6082 \
  --minimal

Escanear múltiplas portas

python3 panos_cve_2026_0300_diag.py \
  -t 172.16.20.254 \
  -p 443,6082,6081-6083 \
  --scheme both

Escanear um intervalo CIDR

python3 panos_cve_2026_0300_diag.py \
  -t 172.16.20.0/24 \
  -p 6082 \
  --csv-out results.csv \
  --json-out results.json

Escanear alvos de um arquivo

Crie targets.txt:

172.16.20.254
172.16.20.253
172.16.21.0/24

Execute:

python3 panos_cve_2026_0300_diag.py \
  -T targets.txt \
  -p 6082 \
  --json-out results.json

Opções de Linha de Comando