🚨 CVE-2026-0257 – Обход аутентификации PAN-OS GlobalProtect

Исследование безопасности, технический анализ, рекомендации по обнаружению, сбор IOC и ресурсы для проверки защиты от CVE-2026-0257.

📌 Обзор

CVE-2026-0257 — это уязвимость обхода аутентификации, затрагивающая развертывания GlobalProtect Portal и Gateway от Palo Alto Networks, работающие на уязвимых версиях PAN-OS при определенных конфигурациях.

Уязвимость возникает из-за некорректного доверия к cookie аутентификации (Authentication Override), что позволяет злоумышленникам обходить механизмы аутентификации и устанавливать несанкционированные VPN-соединения при наличии соответствующих настроек.

Серьезность по версии производителя: HIGH
CVSS v4: 7.8
Статус эксплуатации: Активно эксплуатируется
CISA KEV: Добавлен

⚡ Влияние

Злоумышленник может:

• Обойти механизмы аутентификации
• Установить несанкционированные VPN-сессии
• Получить доступ к внутренним сетевым ресурсам
• Выдать себя за легитимного пользователя
• Запустить атаки после аутентификации на корпоративное окружение

✨ Возможности

🏗 Процесс сканирования

Target
  │
  ▼
Retrieve TLS Certificates
  │
  ▼
Extract Public Keys
  │
  ▼
Generate Validation Cookie
  │
  ▼
Test GlobalProtect Portal
  │
  ▼
Test GlobalProtect Gateway
  │
  ▼
Determine Exposure
  │
  ▼
Generate Report

📦 Требования

• Python 3.8+
• cryptography
• Подключение к интернету
• Доступ к целевому хосту

Поддерживаемые платформы

• Kali Linux
• Ubuntu
• Debian
• CentOS
• macOS
• Windows (WSL)

🚀 Установка

git clone https://github.com/grayxploit/CVE-2026-0257.git
cd CVE-2026-0257

python3 -m venv venv
source venv/bin/activate

pip install -r requirements.txt

📖 Использование

Сканирование одной цели

python3 CVE-2026-0257.py \
-u https://vpn.company.com

Сканирование нескольких целей

python3 CVE-2026-0257.py \
-l targets.txt \
-t 20 \
-o vulnerable.txt

Пользовательское имя пользователя

python3 CVE-2026-0257.py \
-u https://vpn.company.com \
--user testuser

Подробный режим

python3 CVE-2026-0257.py \
-u https://vpn.company.com \
-v

📊 Пример вывода

[*] Scanning vpn.company.com:443

[!!!] VULNERABLE DETECTED

Target: vpn.company.com
Context: gateway
Certificate: CN=GP-LAB-CA
Status: Authentication Override Accepted

================================================

🔬 Методика обнаружения

Сканер выполняет:

1. Получение цепочки TLS-сертификатов цели.
2. Извлечение доступных открытых ключей.
3. Генерацию проверочных cookie аутентификации.
4. Тестирование контекстов GlobalProtect Gateway и Portal.
5. Выявление уязвимых конфигураций.
6. Формирование практически применимых результатов для устранения.

🛡 Рекомендуемые меры защиты

• Немедленно обновите PAN-OS.
• Отключите Authentication Override, если это возможно.
• Используйте выделенный сертификат Authentication Override.
• Проверьте журналы VPN на предмет подозрительной аутентификации по cookie.
• Исследуйте любые совпадения с IOC.

⚠ Ответственное использование

Этот инструмент предназначен исключительно для:

• Авторизованных оценок безопасности
• Внутренней проверки подверженности уязвимостям
• Управления уязвимостями
• Разработки средств обнаружения
• Исследований в области безопасности

Не сканируйте системы без явного разрешения.

👨‍💻 Разработано

Команда исследователей безопасности GrayXploit

Кибербезопасность • Исследование угроз • Red Teaming • Исследование уязвимостей • Исследование безопасности

GitHub: https://github.com/grayxploit

⭐ Поддержите проект

Если этот проект помогает вашей организации:

• Поставьте звезду репозиторию
• Поделитесь с защитниками
• Сообщайте об ошибках ответственно
• Вносите улучшения через Pull Requests

Поддерживается командой GrayXploit Security Research Team