PAN-OS: Authentication Bypass in SAML Authentication

Falha em como o PAN-OS valida assinaturas SAML permite que um atacante sem autenticação, com acesso de rede ao serviço, forje uma asserção SAML e obtenha uma sessão válida — de usuário comum de VPN até administrador do PAN-OS/Panorama. O CVSS 10.0 reflete o pior cenário (interface web administrativa exposta); em cenários de GlobalProtect/Captive Portal o impacto real depende da política de acesso configurada para o usuário autenticado via SSO. Só afeta ambientes que usam SAML para autenticação com uma opção específica desmarcada — a maioria das instalações PAN-OS não usa SAML dessa forma.

A causa é CWE-347 (Improper Verification of Cryptographic Signature). O PAN-OS, ao processar uma resposta SAML de um Identity Provider, deveria verificar que a assinatura XML da asserção corresponde ao certificado do IdP configurado no perfil 'SAML Identity Provider Server Profile'. Quando a opção 'Validate Identity Provider Certificate' está desmarcada, essa verificação de confiança do certificado é pulada — o PAN-OS ainda checa que existe uma assinatura, mas não valida se ela foi feita pelo certificado esperado.

Isso abre a porta para um atacante forjar uma asserção SAML assinada por um certificado arbitrário (por exemplo, autoassinado) afirmando qualquer identidade, incluindo uma conta administrativa. Como o PAN-OS aceita a assinatura sem confirmar a cadeia de confiança com o IdP real, ele trata a asserção forjada como legítima e estabelece uma sessão autenticada para a identidade reivindicada.

O recurso afetado é o consumidor de asserções SAML usado pelo SSO em múltiplos pontos de entrada do PAN-OS: GlobalProtect Gateway, GlobalProtect Portal, GlobalProtect Clientless VPN, Captive Portal, e as interfaces web de administração de PAN-OS/Panorama, além do Prisma Access (já corrigido pelo fornecedor sem ação do cliente). O impacto varia por ponto de entrada: em gateways/portais/captive portal, o atacante ganha acesso aos recursos protegidos conforme a política de segurança configurada, sem poder inspecionar ou adulterar sessões de usuários legítimos; nas interfaces administrativas web, o atacante loga como administrador e executa qualquer ação administrativa — daí o CVSS 10.0 no pior caso.

Pré-requisito central, e o mais importante da página: SAML deve estar habilitado como método de autenticação e a opção 'Validate Identity Provider Certificate' deve estar desmarcada no perfil do Identity Provider. Sem essa combinação de configuração, a vulnerabilidade simplesmente não existe — não há exploração possível contra uma instalação que usa autenticação local, LDAP/Kerberos, ou SAML com a validação de certificado habilitada.

Com a configuração vulnerável presente, o atacante não precisa de credenciais nem de interação do usuário: só precisa de acesso de rede ao endpoint SSO exposto (portal GlobalProtect, gateway, captive portal, interface web de gestão, etc.). Ele constrói uma resposta SAML assinada por um certificado que ele mesmo controla, afirmando a identidade que deseja assumir, e a envia ao endpoint de consumo de asserção. O PAN-OS aceita a assinatura sem confrontar o certificado com o do IdP configurado e cria uma sessão válida para essa identidade forjada.

O fornecedor afirmou, na publicação original (junho/2020), não ter conhecimento de tentativas maliciosas de exploração. A CISA incluiu a CVE no catálogo KEV em março de 2022 — quase dois anos depois — o que indica que evidências de exploração ativa surgiram posteriormente à divulgação inicial; a entrada KEV não a associa a campanhas de ransomware conhecidas. Não há detalhes técnicos públicos de payload ou passo a passo de exploração nas fontes consultadas.

Correção definitiva: atualizar para PAN-OS 8.1.15, 9.0.9, 9.1.3 ou versões posteriores. PAN-OS 8.0 está em fim de vida (desde 31/10/2019) e não recebe correção — a única mitigação nesse ramo é migrar de versão. PAN-OS 7.1 não é afetado. Antes de atualizar, é essencial configurar o 'Identity Provider Certificate' correto no perfil SAML, senão os usuários deixam de conseguir autenticar após o patch — o fornecedor destaca isso como passo obrigatório pré-upgrade.

Se a atualização não for viável de imediato, duas mitigações combinadas eliminam a exposição sem precisar corrigir o binário: (a) configurar corretamente o 'Identity Provider Certificate' no perfil, e (b) marcar (habilitar) a opção 'Validate Identity Provider Certificate'. As duas juntas removem a condição de configuração exigida para a exploração. Alternativamente, desabilitar SAML e usar outro método de autenticação mitiga completamente o problema, ao custo de perder SSO.

Após corrigir, sessões já estabelecidas por exploração anterior não desaparecem automaticamente: para GlobalProtect Gateway/Portal e Prisma Access via Panorama, é preciso trocar o certificado usado para cifrar/decifrar o cookie de 'Authentication Override'; para as interfaces web administrativas, reiniciar o firewall/Panorama invalida as sessões web ativas; para Captcaptive Portal, é necessário listar os mapeamentos IP-usuário do tipo SSO (show user ip-user-mapping all type SSO) e limpar o cache de usuário para os IPs retornados. Apenas atualizar a versão sem essas ações de limpeza não invalida sessões forjadas que já existiam.

O próprio fornecedor observa que qualquer acesso indevido fica registrado nos logs do sistema (conforme a configuração de logging), mas admite que é difícil distinguir logins/sessões SSO válidos de maliciosos nesses registros — não há assinatura confiável de exploração nos logs padrão. Como ponto de partida prático, revise logs de autenticação SAML/SSO por logins administrativos ou de VPN com origem de IP incomum, geolocalização inconsistente, ou criação de sessão fora do padrão de horário/comportamento dos usuários legítimos, e cruze com a configuração do perfil SAML (se 'Validate Identity Provider Certificate' estava desmarcado no período investigado).