PAN-OS CVE-2026-0300 非破坏性暴露调查工具

概述

该工具是一个非破坏性暴露调查工具，用于评估目标 PAN-OS 服务是否可能暴露与 CVE-2026-0300 相关的网络可访问面。

该工具旨在用于授权的防御性安全验证、资产暴露审查和漏洞分类。它不会利用该漏洞，不会发送内存破坏载荷，也不会尝试使目标设备崩溃或入侵。

目标 CVE

该工具设计用于与以下内容相关的暴露评估：

• CVE： CVE-2026-0300
• 厂商： Palo Alto Networks
• 产品： PAN-OS
• 受影响组件： User-ID 认证门户（也称为强制门户）
• 漏洞类型： 缓冲区溢出 / 越界写入
• 影响： 在受影响设备上可能实现未经认证的远程代码执行并获得 root 权限
• 严重性： 严重
• CVSS： 9.3
• 利用成熟度： 已被攻击利用

根据 Palo Alto Networks 的说明，CVE-2026-0300 影响已启用 User-ID 认证门户且可从不受信任网络访问的 PAN-OS 部署。PA 系列和 VM 系列防火墙可能受影响。官方公告中列明 Prisma Access、Cloud NGFW 和 Panorama 不受影响。

该工具检查的内容

该工具执行安全的网络和 HTTP(S) 级别检查，以识别目标是否暴露了与 PAN-OS 门户相关的服务。

它检查：

• 指定 IP/端口的 TCP 可达性。
• HTTPS 可达性。
• 使用 --scheme both 或 --scheme http 时的 HTTP 可达性。
• 仅使用安全的 HTTP 方法：
  • HEAD
  • GET
  • OPTIONS
• 与门户相关的路径，包括：
  • /
  • /php/login.php
  • /php/uid.php
  • /php/uidlogin.php
  • /sslmgr
  • /global-protect/login.esp
• HTTP 响应状态码。
• 可能指示以下内容的基本响应指纹：
  • PAN-OS
  • Palo Alto Networks
  • 强制门户
  • User-ID 认证门户
  • GlobalProtect
  • 响应页面
• 使用 --pan-os-ver 进行可选的自我报告 PAN-OS 版本评估。

HTTPS 证书验证默认禁用，因为 PAN-OS 管理和门户服务通常使用自签名或私有签发的证书。

该工具不执行的操作

该工具不会：

• 发送利用载荷。
• 发送内存破坏缓冲区。
• 尝试绕过认证。
• 尝试远程代码执行。
• 执行崩溃测试。
• 确认可利用性。
• 修改目标设备。
• 向 PAN-OS 进行认证。
• 直接读取 PAN-OS 配置。

该工具仅提供外部网络可观察的暴露评估，如果提供了 --pan-os-ver，则提供基于自我报告版本的风险评估。

您可以从结果中了解到的信息

该工具有助于回答以下问题：

1. 目标端口是否可达？

该工具检查扫描主机是否能够与指定目标和端口建立 TCP 连接。

示例发现：

tcp=True
https=True

这意味着目标端口可从扫描主机访问，并接受 HTTPS 连接。

2. 该服务是否表现为 HTTP(S) 服务？

该工具发送安全的 HTTP(S) 请求并记录响应状态码。

示例发现：

HTTPS HEAD /: HTTP/1.1 403 Forbidden
HTTPS GET /php/uid.php: HTTP/1.1 500 Internal Server Error

这意味着该服务可达并正在处理 HTTP(S) 请求。

3. 与门户相关的路径是否可从外部访问？

该工具检查通常与 PAN-OS 门户或响应页面功能相关的路径。

示例：

/php/login.php
/php/uid.php
/php/uidlogin.php

这些路径返回非 404 响应可能表明门户相关的处理程序可从扫描主机访问。

4. 目标是否看起来像 PAN-OS/User-ID 门户？

该工具在响应头、标题、重定向、Cookie 和响应正文样本中查找轻量级文本指示器。

指示器示例：

palo alto
pan-os
globalprotect
captive portal
user-id
authentication portal
response page

这些指示器增加了暴露服务与 PAN-OS 门户功能相关的置信度。

5. 提供的 PAN-OS 版本是否受影响？

如果提供了 --pan-os-ver，该工具会将提供的版本与脚本中嵌入的官方公告表中的受影响/已修复阈值进行比较。

示例：

--pan-os-ver 10.2.4-h2

示例结果：

patch_status: AFFECTED_BY_VERSION
version_status: AFFECTED_VERSION
combined_risk=HIGH

如果未提供 --pan-os-ver，该工具会显示受影响/已修复版本表，并将版本状态报告为未知。

安装

该工具仅使用 Python 标准库模块。

无需外部 Python 依赖。

python3 --version

推荐：

Python 3.8+

可以使用一个最小的 requirements.txt：

# 无需外部依赖。
# 该工具仅使用 Python 标准库模块。

基本用法

扫描单个目标和端口

python3 panos_cve_2026_0300_diag.py \
  -t 172.16.20.254 \
  -p 6082

使用自我报告的 PAN-OS 版本进行扫描

python3 panos_cve_2026_0300_diag.py \
  -t 172.16.20.254 \
  -p 6082 \
  --pan-os-ver 10.2.4-h2

显示每个请求的详细观察结果

python3 panos_cve_2026_0300_diag.py \
  -t 172.16.20.254 \
  -p 6082 \
  --pan-os-ver 10.2.4-h2 \
  --verbose

同时探测 HTTPS 和 HTTP

python3 panos_cve_2026_0300_diag.py \
  -t 172.16.20.254 \
  -p 6082 \
  --scheme both

使用最小路径探测

默认情况下，该工具会探测所有安全的已知路径。

使用 --minimal 仅检查：

• /
• /php/login.php

python3 panos_cve_2026_0300_diag.py \
  -t 172.16.20.254 \
  -p 6082 \
  --minimal

扫描多个端口

python3 panos_cve_2026_0300_diag.py \
  -t 172.16.20.254 \
  -p 443,6082,6081-6083 \
  --scheme both

扫描 CIDR 范围

python3 panos_cve_2026_0300_diag.py \
  -t 172.16.20.0/24 \
  -p 6082 \
  --csv-out results.csv \
  --json-out results.json

从文件扫描目标

创建 targets.txt：

172.16.20.254
172.16.20.253
172.16.21.0/24

运行：

python3 panos_cve_2026_0300_diag.py \
  -T targets.txt \
  -p 6082 \
  --json-out results.json

命令行选项

结果解读

该工具产生三种主要类型的评估：

1. 暴露级别
2. 版本/补丁状态
3. 综合风险

暴露级别参考

置信度参考

HTTP 状态解读

版本状态参考

补丁状态参考

综合风险参考

示例输出

示例命令：

python3 panos_cve_2026_0300_diag.py \
  -t 172.16.20.254 \
  -p 6082 \
  --pan-os-ver 10.2.4-h2 \
  --verbose

示例结果：

[WARN] 172.16.20.254:6082 -> POSSIBLE_EXPOSED_AUTH_PORTAL / confidence=HIGH / combined_risk=HIGH
  exposure_reason: Portal-related paths appear reachable and behave like application handlers, but PAN-OS product/version cannot be confirmed remotely.
  patch_status: AFFECTED_BY_VERSION
  version_status: AFFECTED_VERSION
  pan_os_version: 10.2.4-h2
  normalized_version: 10.2.4-h2
  version_reason: Version is older than earliest fixed threshold 10.2.7-h34.
  combined_reason: Exposure indicators were observed and the supplied PAN-OS version is affected by the version table.
  evidence:
    - HTTPS HEAD /: HTTP/1.1 403 Forbidden
    - HTTPS HEAD /php/login.php: HTTP/1.1 405 Not Allowed
    - HTTPS GET /php/uid.php: HTTP/1.1 500 Internal Server Error
    - Portal-related PHP path returned 5xx, suggesting application handler exposure.
    - Multiple portal-related PHP paths responded with non-404 statuses: /php/login.php, /php/uid.php, /php/uidlogin.php

这意味着：

• 目标端口可达。
• HTTPS 可用。
• 门户相关路径可从外部访问。
• 至少一个门户相关路径返回了 5xx 响应。
• 根据嵌入的版本表，提供的 PAN-OS 版本受影响。
• 综合风险较高。

退出代码

重要限制

该工具无法仅通过网络确定所有内容。

它无法直接确认：

• User-ID 认证门户是否在 PAN-OS 配置中启用。
• 响应页面是否在特定接口管理配置文件上启用。
• 该服务是否可从所有不受信任的网络访问。
• 威胁防护签名是否启用。
• 目标是否实际可利用。
• 目标是否已被入侵。

结果应被视为暴露和分类信号，而非可利用性的证明。

建议的后续检查

如果该工具报告 POSSIBLE_EXPOSED_AUTH_PORTAL、LIKELY_EXPOSED_AUTH_PORTAL 或 HIGH，请在 PAN-OS 设备上审查以下内容：

• 确认已安装的 PAN-OS 版本。
• 确认 User-ID 认证门户 / 强制门户是否启用。
• 确认响应页面是否在可从不受信任网络访问的接口上启用。
• 确认该服务是否可从互联网或其他不受信任区域访问。
• 确认相关的威胁防护内容和签名是否已安装并启用。
• 审查系统、威胁和流量日志中是否有对门户相关路径的异常请求。
• 应用厂商推荐的已修复版本或缓解措施。

官方信息链接

• Palo Alto Networks CVE-2026-0300 安全公告： https://security.paloaltonetworks.com/CVE-2026-0300

• Palo Alto Networks 安全公告门户： https://security.paloaltonetworks.com/

• CISA 已知被利用漏洞目录： https://www.cisa.gov/known-exploited-vulnerabilities-catalog

• NIST 国家漏洞数据库条目： https://nvd.nist.gov/vuln/detail/CVE-2026-0300

备注

在做出生产决策之前，始终验证最新的厂商公告。如果 Palo Alto Networks 修订公告，应审查并更新此工具中的受影响和已修复版本表。

该工具仅用于授权的防御性用途。