🚨 CVE-2026-0257 - Уязвимости обхода аутентификации

PAN-OS: Уязвимости обхода аутентификации GlobalProtect

Обход аутентификации в портале и шлюзе GlobalProtect

📌 Обзор

CVE-2026-0257 — это уязвимость обхода аутентификации, затрагивающая компоненты портала и шлюза GlobalProtect в программном обеспечении PAN-OS от Palo Alto Networks.

Неаутентифицированный удаленный злоумышленник может обойти ограничения безопасности и установить несанкционированное VPN-соединение с уязвимыми межсетевыми экранами.

Примечание: Panorama и Cloud NGFW не затронуты.

⚠️ Серьезность и оценка

Вектор (пример CVSS 4.0):
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:N/VA:N/SC:H/SI:H/SA:N

📖 Описание

Уязвимости обхода аутентификации в портале и шлюзе GlobalProtect в программном обеспечении PAN-OS® от Palo Alto Networks позволяют злоумышленнику обойти ограничения безопасности и установить несанкционированное VPN-соединение.

Проблема проистекает из CWE-565: Использование файлов cookie без проверки и контроля целостности.

🛠 Затронутые продукты

• PAN-OS версии до исправленных выпусков (10.2, 11.1, 11.2, 12.1)
• Prisma Access (определенные версии)
• Межсетевые экраны с настроенным порталом или шлюзом GlobalProtect

Не затронуты:

• Panorama
• Cloud NGFW

🔍 Уязвимая конфигурация

Для эксплуатации этой уязвимости требуется следующая конфигурация:

1. Настроен портал или шлюз GlobalProtect
2. Включены файлы cookie переопределения аутентификации
3. Сертификат шифрования/дешифрования файлов cookie переопределения аутентификации повторно используется с другой функцией

💥 Воздействие

• Несанкционированный доступ к VPN к внутренним сетям
• Потенциальное боковое перемещение злоумышленников
• Обход многофакторной аутентификации (в определенных конфигурациях)
• Значительный риск для периметров предприятия

Высокое влияние на конфиденциальность и целостность защищенных сетей.

🔥 Статус эксплуатации

• Активно эксплуатируется в дикой природе (по состоянию на 17 мая 2026 г.)
• Rapid7 наблюдала успешную эксплуатацию
• Palo Alto Networks подтвердила ограниченные попытки эксплуатации
• Добавлен в каталог CISA Known Exploited Vulnerabilities (KEV) 29 мая 2026 г.

⚙️ Использование:

python3 CVE-2026-0257.py --target vpn.company.com
python3 CVE-2026-0257.py --target 192.168.1.100 --user administrator --verbose

✅ Ожидаемый успешный вывод:

╔══════════════════════════════════════════════════════════════╗
║         CVE-2026-0257 - GlobalProtect Auth Bypass            ║
║               Public Key Cookie Forging Exploit              ║
║                     Author: 0xBlackash                       ║
╚══════════════════════════════════════════════════════════════╝

[*] Connecting to vpn.company.com:443 to extract certificate chain...
   [+] Found 2048-bit RSA key

[*] Forging authentication cookie for user: admin

[1/1] Trying public key...
   Cookie (first 60 chars): eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCJ9...

[+] SUCCESS! Authentication Bypass Achieved!
    Username : admin
    Cookie   : eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCJ9...

✅ Исправления и обновления

Исправленные версии (примените срочно):

Prisma Access также имеет соответствующие исправленные версии.

🛡️ Меры по смягчению

Немедленные временные решения (если установка исправлений невозможна):

• Отключите файлы cookie переопределения аутентификации, если они не требуются
• Избегайте повторного использования сертификата для переопределения аутентификации GlobalProtect
• Мониторинг журналов GlobalProtect на предмет подозрительных VPN-соединений
• Ограничьте доступ к управлению и включите строгие политики безопасности

🔗 Ссылки

• Официальное уведомление Palo Alto Networks
• Подробности NVD
• Анализ Rapid7
• Каталог CISA KEV

📅 Хронология