Поделиться
«Дыра», которую прежде считали мелкой, делает файерволлы бесполезными
Уязвимость в продуктах Palo Alto Networks, которую изначально сочли малозначимой, оказалась критической и хакеры активно начали ею пользоваться.Проблема критического спектра
Хакеры начали активно эксплуатировать критическую уязвимость в продукте Palo Alto Networks PAN-OS, исправления к которой были выпущены ещё в середине мая. «Баг» CVE-2026-0257 позволяет потенциальным злоумышленникам обходить авторизацию в соответствующем оборудовании и устанавливать VPN-соединения.
PAN-OS - это проприетарная операционная система, на основе которой функционируют файерволлы Palo Alto Networks серии NGFW. Она построена на основе ядра Linux с добавлением и усилением множества защитных функций.
Уязвимость CVE-2026-0257 (9,1 балла по шкале CVSS) затрагивает компоненты портала и шлюза GlobalProtect в Palo Alto Networks PAN-OS, но не развёртывания Panorama или Cloud NGFW.
Первые признаки активной практической (in the wild) эксплуатации выявили эксперты компании Rapid7; вскоре после этого стало очевидно, что изначально присвоенный CVE-2026-0257 индекс угрозы по шкале CVSS - 4,7 балла - некорректен: речь шла о проблеме критического спектра.
Типичной ошибкой при настройках файерволла является использование одного и того же сертификата для службы HTTPS и функции шифрования файлов cookie. Если подобное имеет место, злоумышленник может извлечь открытый ключ непосредственно из HTTPS-сессии, затем создать cookie от имени любого пользователя, включая локальную учетную запись администратора; устройство сочтёт этот файл как совершенно легитимный.
Команда Rapid7 Labs разработала скрипт, демонстрирующий это в на практике: с его помощью возможно получить всю последовательность сертификатов, выполнить итерацию для каждого из них, создать файл cookie и протестировать его. Вся атака занимает считанные секунды.
«Если мы посмотрим на функцию main_DecryptAppAuthCookie, проблема становится очевидной», - говорится в отчете, опубликованном Rapid7. - «Входящий зашифрованный cookie-файл декодируется в base64, а затем расшифровывается с помощью закрытого ключа. Расшифрованное содержимое пользуется безоговорочным доверием: после расшифровки не происходит никакой проверки подписи».
Кто это сделал
Первая волна атак была зафиксирована ночью 18 мая 2026 г. Источником стала инфраструктура, относящаяся к облачному провайдеру Vultr. Как следовало из логов, входящие соединения распознавались как логины от лица локальных администраторов. Источником были системы под управлением Linux с именем хоста GP-Client и поддельным MAC-адресом.
Вторая волна началась 21 мая, и её источником была инфраструктура хостинг-провайдера Dromatics Systems. Хотя имя хоста было другим - DESKTOP-GP01, в атаках фигурировал всё тот же MAC-адрес, что прямо указывало на одного и того же оператора.
Во время второй волны атак некоторым затронутым системам были присвоены новые значения IP виртуальной сети, что означало, что злоумышленник получил доступ во внутреннюю сеть за файерволломм.
Однако, как ни странно, никаких признаков последующего перемещения по этой сети найти не удалось.
В 8 из 10 случаев поддельный файл cookie система принимала, однако развёртывания полноценной VPN-сессии за этим не последовало.
«Возможно, речь шла о тестировании возможностей, открывающихся в результате успешной аутентификации, - считает Никита Павлов, эксперт по информационной безопасности компании SEQ. - Не исключено, что атаку осуществляли «брокеры», которые сами не заинтересованы в глубоком проникновении в сети затронутых организаций, но охотно продают доступ в них другим злоумышленникам. Тот факт, что уязвимость внесена американским агентством CISA в свой знаменитый список, означает, что проблема требует серьёзного отношения».
Все пострадавшие системы имели две общие черты: служба Cloud Authentication была отключена, переопределение файлов cookie аутентификации - активно, причём один и тот же сертификат cookie использовался совместно со службой HTTPS.
Уязвимы только те системы, которые отвечают двум этим условиям.
Решение проблемы сводится к обновлению PAN-OS. В качестве промежуточной меры можно отключить функцию переопределения аутентификации или сгенерировать сертификат, который будет использоваться только для шифрования cookie-файлов, и не передаваться никаким другим службам.
Поделиться
Короткая ссылка
