PAN-OS CVE-2026-0300 非破坏性暴露调查工具

概述

该工具是一个非破坏性暴露调查工具，用于评估目标 PAN-OS 服务是否可能暴露与 CVE-2026-0300 相关的网络可访问面。

该工具旨在用于授权的防御性安全验证、资产暴露审查和漏洞分类。它不会利用该漏洞，不会发送内存破坏载荷，也不会尝试使目标设备崩溃或入侵。

目标 CVE

该工具设计用于与以下内容相关的暴露评估：

CVE： CVE-2026-0300
厂商： Palo Alto Networks
产品： PAN-OS
受影响组件： User-ID 认证门户（也称为强制门户）
漏洞类型： 缓冲区溢出 / 越界写入
影响： 在受影响设备上可能实现未经认证的远程代码执行并获得 root 权限
严重性： 严重
CVSS： 9.3
利用成熟度： 已被攻击利用

根据 Palo Alto Networks 的说明，CVE-2026-0300 影响已启用 User-ID 认证门户且可从不受信任网络访问的 PAN-OS 部署。PA 系列和 VM 系列防火墙可能受影响。官方公告中列明 Prisma Access、Cloud NGFW 和 Panorama 不受影响。

该工具检查的内容

该工具执行安全的网络和 HTTP(S) 级别检查，以识别目标是否暴露了与 PAN-OS 门户相关的服务。

它检查：

指定 IP/端口的 TCP 可达性。
HTTPS 可达性。
使用 --scheme both 或 --scheme http 时的 HTTP 可达性。
仅使用安全的 HTTP 方法：
- HEAD
- GET
- OPTIONS
与门户相关的路径，包括：
- /
- /php/login.php
- /php/uid.php
- /php/uidlogin.php
- /sslmgr
- /global-protect/login.esp
HTTP 响应状态码。
可能指示以下内容的基本响应指纹：
- PAN-OS
- Palo Alto Networks
- 强制门户
- User-ID 认证门户
- GlobalProtect
- 响应页面
使用 --pan-os-ver 进行可选的自我报告 PAN-OS 版本评估。

HTTPS 证书验证默认禁用，因为 PAN-OS 管理和门户服务通常使用自签名或私有签发的证书。

该工具不执行的操作

该工具不会：

发送利用载荷。
发送内存破坏缓冲区。
尝试绕过认证。
尝试远程代码执行。
执行崩溃测试。
确认可利用性。
修改目标设备。
向 PAN-OS 进行认证。
直接读取 PAN-OS 配置。

该工具仅提供外部网络可观察的暴露评估，如果提供了 --pan-os-ver，则提供基于自我报告版本的风险评估。

您可以从结果中了解到的信息

该工具有助于回答以下问题：

1. 目标端口是否可达？

该工具检查扫描主机是否能够与指定目标和端口建立 TCP 连接。

示例发现：

tcp=True
https=True

这意味着目标端口可从扫描主机访问，并接受 HTTPS 连接。

2. 该服务是否表现为 HTTP(S) 服务？

该工具发送安全的 HTTP(S) 请求并记录响应状态码。

示例发现：

HTTPS HEAD /: HTTP/1.1 403 Forbidden
HTTPS GET /php/uid.php: HTTP/1.1 500 Internal Server Error

这意味着该服务可达并正在处理 HTTP(S) 请求。

3. 与门户相关的路径是否可从外部访问？

该工具检查通常与 PAN-OS 门户或响应页面功能相关的路径。

示例：

/php/login.php
/php/uid.php
/php/uidlogin.php

这些路径返回非 404 响应可能表明门户相关的处理程序可从扫描主机访问。

4. 目标是否看起来像 PAN-OS/User-ID 门户？

该工具在响应头、标题、重定向、Cookie 和响应正文样本中查找轻量级文本指示器。

指示器示例：

palo alto
pan-os
globalprotect
captive portal
user-id
authentication portal
response page

这些指示器增加了暴露服务与 PAN-OS 门户功能相关的置信度。

5. 提供的 PAN-OS 版本是否受影响？

如果提供了 --pan-os-ver，该工具会将提供的版本与脚本中嵌入的官方公告表中的受影响/已修复阈值进行比较。

示例：

--pan-os-ver 10.2.4-h2

示例结果：

patch_status: AFFECTED_BY_VERSION
version_status: AFFECTED_VERSION
combined_risk=HIGH

如果未提供 --pan-os-ver，该工具会显示受影响/已修复版本表，并将版本状态报告为未知。

安装

该工具仅使用 Python 标准库模块。

无需外部 Python 依赖。

python3 --version

基本用法

扫描单个目标和端口

python3 panos_cve_2026_0300_diag.py \
  -t 172.16.20.254 \
  -p 6082

使用自我报告的 PAN-OS 版本进行扫描

python3 panos_cve_2026_0300_diag.py \
  -t 172.16.20.254 \
  -p 6082 \
  --pan-os-ver 10.2.4-h2

显示每个请求的详细观察结果

python3 panos_cve_2026_0300_diag.py \
  -t 172.16.20.254 \
  -p 6082 \
  --pan-os-ver 10.2.4-h2 \
  --verbose

同时探测 HTTPS 和 HTTP

python3 panos_cve_2026_0300_diag.py \
  -t 172.16.20.254 \
  -p 6082 \
  --scheme both

使用最小路径探测

默认情况下，该工具会探测所有安全的已知路径。

使用 --minimal 仅检查：

/
/php/login.php

python3 panos_cve_2026_0300_diag.py \
  -t 172.16.20.254 \
  -p 6082 \
  --minimal

扫描多个端口

python3 panos_cve_2026_0300_diag.py \
  -t 172.16.20.254 \
  -p 443,6082,6081-6083 \
  --scheme both

扫描 CIDR 范围

python3 panos_cve_2026_0300_diag.py \
  -t 172.16.20.0/24 \
  -p 6082 \
  --csv-out results.csv \
  --json-out results.json

从文件扫描目标

创建 targets.txt：

172.16.20.254
172.16.20.253
172.16.21.0/24

运行：

python3 panos_cve_2026_0300_diag.py \
  -T targets.txt \
  -p 6082 \
  --json-out results.json

命令行选项

选项	描述
`-t, --target`	目标 IP、主机名或 CIDR。支持逗号分隔的值。
`-T, --targets-file`	包含目标的文件，每行一个。支持 CIDR 条目。
`-p, --ports`	端口或端口范围。示例：`6082`、`443,6082`、`6081-6083`。
`--scheme`	探测方案：`https`、`http` 或 `both`。默认值：`https`。
`--pan-os-ver`	自我报告的 PAN-OS 版本，例如 `10.2.4-h2`。
`--timeout`	套接字超时时间（秒）。默认值：`4.0`。
`--max-bytes`	每个请求读取的最大响应字节数。默认值：`16384`。
`--minimal`	仅探测 `/` 和 `/php/login.php`。
`--verbose`	打印所有请求观察结果。
`--quiet`	减少控制台输出。
`--json-out`	将完整结果写入 JSON 文件。
`--csv-out`	将摘要结果写入 CSV 文件。

结果解读

该工具产生三种主要类型的评估：

暴露级别
版本/补丁状态
综合风险

暴露级别参考

暴露级别	含义
`LIKELY_EXPOSED_AUTH_PORTAL`	在可达的 HTTP(S) 服务上观察到类似 PAN-OS 和类似认证门户的指示器。
`POSSIBLE_EXPOSED_AUTH_PORTAL`	门户相关路径似乎可达并表现为应用程序处理程序，但无法远程确认 PAN-OS 产品/版本。
`POSSIBLE_RESPONSE_PAGE_EXPOSURE`	门户相关路径或响应页面似乎可达，但未确认产品/版本。
`HTTP_SERVICE_REACHABLE_ACCESS_CONTROLLED`	HTTP(S) 服务可达且受访问控制，但未观察到明确的门户指纹。
`HTTP_SERVICE_REACHABLE_UNIDENTIFIED`	HTTP(S) 服务可达，但未观察到明确的 PAN-OS/User-ID 门户指示器。
`TCP_REACHABLE_SERVICE_UNIDENTIFIED`	TCP 连接成功，但未观察到明确的 HTTP 响应。
`NOT_REACHABLE_FROM_THIS_SCANNER`	扫描主机无法到达目标端口。

置信度参考

置信度	含义
`HIGH`	观察到强外部指示器，例如门户相关的 5xx/2xx/3xx 响应或多个门户路径返回非 404 响应。
`MEDIUM`	观察到一些门户或响应页面指示器，但无法高置信度地识别该服务。
`LOW`	服务可达，但产品或门户证据较弱。

HTTP 状态解读

状态	解读
`2xx`	该路径返回了成功内容。这可能表明门户内容可达。
`3xx`	该路径返回了重定向。这可能表明门户或登录流程可达。
`403`	该路径存在或被处理，但访问被禁止。
`404`	未找到该路径。这是较弱的暴露证据。
`405`	该路径可能存在，但不允许该 HTTP 方法。这对门户相关路径有意义。
`5xx`	请求可能到达了应用程序逻辑并导致服务器端错误。这是较强的暴露证据，但不是可利用性的证明。

CVE-2026-0300

最受欢迎