CVE-2026-0257 — PAN-OS GlobalProtect 认证绕过

远程检测 PoC

仅检测。无利用。不提交凭证。不伪造 Cookie。

概述

CVE-2026-0257 是 Palo Alto Networks PAN-OS 的 GlobalProtect 门户和网关中的一个认证绕过漏洞（CWE-565 — 依赖未经验证和完整性检查的 Cookie）。当认证覆盖 Cookie 启用且存在特定的证书配置时，未经身份验证的攻击者可以绕过安全限制并建立未经授权的 VPN 连接。

• 公告: https://security.paloaltonetworks.com/CVE-2026-0257
• CVSS 4.0: 4.7 (中等) / 基础: 7.8
• CWE: CWE-565
• 受影响组件: GlobalProtect 门户, GlobalProtect 网关
• 不受影响: Panorama, Cloud NGFW

受影响版本

暴露所需配置

该漏洞仅在认证覆盖 Cookie 在门户或网关上启用时适用。要检查：

门户: 网络 → GlobalProtect → 门户 → 代理 → 代理配置 → 认证标签

• 勾选了“生成认证覆盖 Cookie”或“接受认证覆盖 Cookie”

网关: 网络 → GlobalProtect → 网关 → 代理 → 客户端设置 → 认证覆盖标签

• 勾选了“接受认证覆盖 Cookie”

本工具

cve_2026_0257_check.py 执行被动、只读的远程检测：

1. GP 门户/网关检测 — 检查标准的未授权端点以确定 GlobalProtect 存在
2. PAN-OS 版本指纹识别 — 从服务器标头、登录页面 HTML 以及 /global-protect/portal/config.esp XML 响应中读取版本
3. 认证覆盖 Cookie 指示器 — 寻找可能启用基于 Cookie 的认证覆盖的行为信号
4. 版本范围检查 — 将检测到的版本与公告中定义的所有易受攻击范围进行比较

它不会做的事

• 不提交凭证
• 不伪造或重放认证 Cookie
• 不尝试建立 VPN 连接
• 不在目标上写入或修改任何内容

要求

• Python 3.8+
• 无第三方依赖（仅标准库）

使用方法

# 单个目标（默认端口 443）
python3 cve_2026_0257_check.py vpn.example.com

# 自定义端口
python3 cve_2026_0257_check.py vpn.example.com:8443

# 多个目标
python3 cve_2026_0257_check.py host1 host2 host3

# JSON 输出
python3 cve_2026_0257_check.py vpn.example.com --json

# 调整超时
python3 cve_2026_0257_check.py vpn.example.com --timeout 15

输出

============================================================
  Target  : vpn.example.com:443
  Verdict : LIKELY_VULNERABLE
============================================================
  GP 门户可达  : True
  GP 网关可达 : True
  PAN-OS 版本       : 11.2.7-h3
  认证 Cookie 指示器: True
  版本有漏洞   : True

  备注:
    • 在 /global-protect/login.esp 发现 GlobalProtect 门户页面 (HTTP 200)
    • 存在 GlobalProtect 网关端点 (HTTP 400)
    • 从 /global-protect/portal/config.esp 获取的版本: 11.2.7-h3
    • portal/config.esp 返回 HTTP 200 且包含正文 — 可能表明已启用认证覆盖 Cookie 接受功能

  [!] 主机似乎运行着一个有漏洞的 PAN-OS 版本。
      按照公告验证认证覆盖 Cookie 配置：
      https://security.paloaltonetworks.com/CVE-2026-0257

判定值

修复措施

根据官方公告：

1. 升级到已修复 PAN-OS 版本（见上表）
2. 或使用专用证书专门用于认证覆盖 Cookie — 不要重复使用门户/网关证书
3. 或完全禁用认证覆盖，取消选中门户和网关配置中的相关选项

修补后，用户需要重新认证一次，因为 Cookie 将使用更安全的方法重新生成。

披露

• 发现者: Palo Alto Networks PSIRT 内部发现
• 发布时间: 2026-05-13
• 利用状态: 截至发布时，未发现已知的恶意利用

法律声明

本工具仅用于您拥有或获得明确书面授权的系统。未经授权对非您拥有的系统进行使用是违法的。作者不对滥用行为承担任何责任。