中危

Palo Alto Networks PAN-OS身份验证绕过漏洞(CVE-2026-0257)

2026-05-13 18:15:10 公开，2026-07-14 13:52:35 更新

CWEs：: CWE-565 （Reliance on Cookies without Validation and Integrity Checking）
CAPEC：: CAPEC-114 （Authentication Abuse）
SSVC：: 可利用状态：已被积极利用攻击自动化：否技术影响评估：全部 2026-05-28 08:00:00

风险信息

CVSS v3.1 向量: AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
CVSS v3.1 风险值: 9.1
CVSS v4.0 向量: AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:N/VA:N/SC:H/SI:H/SA:N/E:U/AU:N/R:A/V:D/RE:M/U:Amber
CVSS v4.0 风险值: 4.7

漏洞类型: 其他
漏洞描述: Palo Alto Networks PAN-OS是美国Palo Alto Networks公司的一套为其防火墙设备开发的操作系统。Palo Alto Networks PAN-OS存在安全漏洞，该漏洞源于GlobalProtect门户和网关中的认证绕过问题，可能导致攻击者绕过安全限制并建立未授权VPN连接。
修复建议: 当前厂商已发布了补丁信息，如果防火墙配置为对GlobalProtect门户或网关使用身份验证覆盖cookie，它将使用更安全的方法重新生成该cookie。因此，即使存在有效的cookie，GP用户在PAN-OS升级后也需要重新进行身份验证。这是一次性要求。升级后，一旦用户重新进行身份验证，身份验证覆盖cookie及其有效性将像以前一样正常工作。参考链接： https://security.paloaltonetworks.com/CVE-2026-0257
缓解措施: 可以通过采取以下任意措施来降低此问题的风险： 1、使用专用证书用于身份验证覆盖(Authentication Override)cookie：为身份验证覆盖cookie生成一个新的专用证书并妥善存储。不要重复使用门户或网关证书，也不要将此证书与其他功能或用户共享。 2、用身份验证覆盖：在GlobalProtect门户和网关配置中取消选中身份验证覆盖选项(用于生成和接受cookie)。