🚨 CVE-2026-0257 — уязвимости обхода аутентификации

PAN-OS: уязвимости обхода аутентификации в GlobalProtect

Обход аутентификации в портале и шлюзе GlobalProtect

📌 Обзор

CVE-2026-0257 — это уязвимость обхода аутентификации, затрагивающая компоненты портала и шлюза GlobalProtect программного обеспечения Palo Alto Networks PAN-OS.

Неаутентифицированный удалённый злоумышленник может обойти ограничения безопасности и установить несанкционированное VPN-подключение к уязвимым межсетевым экранам.

Примечание: Panorama и Cloud NGFW не затронуты.

⚠️ Серьёзность и оценка

Метрика	Оценка	Рейтинг
CVSS v4.0	7.8 / 4.7	Высокая / Средняя
CVSS v3.x	До 9.8	Критическая
Срочность	НАИВЫСШАЯ	-

Вектор (пример CVSS 4.0):
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:N/VA:N/SC:H/SI:H/SA:N

📖 Описание

Уязвимости обхода аутентификации в портале и шлюзе GlobalProtect программного обеспечения Palo Alto Networks PAN-OS® позволяют злоумышленнику обойти ограничения безопасности и установить несанкционированное VPN-подключение.

Проблема связана с CWE-565: Reliance on Cookies without Validation and Integrity Checking (использование cookie без проверки валидности и целостности).

🛠 Затронутые продукты

Версии PAN-OS до исправленных выпусков (10.2, 11.1, 11.2, 12.1)
Prisma Access (определённые версии)
Межсетевые экраны с настроенным порталом или шлюзом GlobalProtect

Не затронуты:

Panorama
Cloud NGFW

🔍 Уязвимая конфигурация

Для эксплуатации этой уязвимости требуется следующая конфигурация:

Настроен портал или шлюз GlobalProtect
Включены cookie переопределения аутентификации
Сертификат шифрования/расшифровки cookie переопределения аутентификации используется повторно с другой функцией

💥 Воздействие

Несанкционированный VPN-доступ к внутренним сетям
Потенциальное горизонтальное перемещение злоумышленников
Обход многофакторной аутентификации (в определённых конфигурациях)
Значительный риск для корпоративного периметра

Высокое воздействие на конфиденциальность и целостность защищаемых сетей.

🔥 Статус эксплуатации

Активно эксплуатируется в реальных условиях (по состоянию на 17 мая 2026 г.)
Rapid7 наблюдала успешную эксплуатацию
Palo Alto Networks подтвердила ограниченные попытки эксплуатации
Добавлена в каталог CISA Known Exploited Vulnerabilities (KEV) 29 мая 2026 г.

⚙️ Использование:

python3 CVE-2026-0257.py --target vpn.company.com
python3 CVE-2026-0257.py --target 192.168.1.100 --user administrator --verbose

✅ Ожидаемый успешный вывод:

╔══════════════════════════════════════════════════════════════╗
║         CVE-2026-0257 - GlobalProtect Auth Bypass            ║
║               Public Key Cookie Forging Exploit              ║
║                     Author: 0xBlackash                       ║
╚══════════════════════════════════════════════════════════════╝

[*] Connecting to vpn.company.com:443 to extract certificate chain...
   [+] Found 2048-bit RSA key

[*] Forging authentication cookie for user: admin

[1/1] Trying public key...
   Cookie (first 60 chars): eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCJ9...

[+] SUCCESS! Authentication Bypass Achieved!
    Username : admin
    Cookie   : eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCJ9...

✅ Патчи и исправления

Исправленные версии (применять в срочном порядке):

Версия PAN-OS	Исправленный выпуск
12.1	≥ 12.1.4-h6, ≥ 12.1.7
11.2	≥ 11.2.4-h17, ≥ 11.2.7-h14 и т. д.
11.1	≥ 11.1.4-h33, ≥ 11.1.7-h6 и т. д.
10.2	≥ 10.2.7-h34, ≥ 10.2.10-h36 и т. д.

Prisma Access также имеет соответствующие исправленные версии.

🛡️ Меры защиты

Немедленные обходные пути (если установка патча невозможна):

Отключите cookies переопределения аутентификации, если они не требуются
Избегайте повторного использования сертификатов для переопределения аутентификации GlobalProtect
Отслеживайте журналы GlobalProtect на предмет подозрительных VPN-подключений
Ограничьте доступ к управлению и включите строгие политики безопасности

🔗 Ссылки

📅 Хронология

Дата	Событие
2026-05-13	Публикация CVE + первичное уведомление
2026-05-17	Зафиксирована эксплуатация в реальных условиях
2026-05-29	Обновление Palo Alto + добавление в CISA KEV
2026-05-30	Этот отчёт

Рекомендация: установить патч немедленно — рассматривать как критическую уязвимость, несмотря на базовую оценку CVSS, из-за активной эксплуатации.

Создано в стиле README — 30 мая 2026 г.

CVE-2026-0257

Популярное