PAN-OS: GlobalProtect Authentication Bypass Vulnerabilities

Falha de bypass de autenticação no GlobalProtect (portal e gateway) do PAN-OS que permite estabelecer uma conexão VPN sem autenticação válida, explorando o mecanismo de cookies de "authentication override". Só afeta ambientes que têm esse recurso de cookie de reautenticação ativado com uma configuração de certificado específica — não é o comportamento padrão do GlobalProtect. Está no catálogo KEV da CISA com prazo de correção de apenas 3 dias, o que indica urgência maior do que o CVSS de 7.8 sugere isoladamente.

A vulnerabilidade é classificada como CWE-565 (Reliance on Cookies without Validation and Integrity Checking). O GlobalProtect tem uma função opcional de "authentication override": ao autenticar, o portal ou gateway gera um cookie que o agente GlobalProtect apresenta em conexões futuras para pular o fluxo completo de login (SSO, MFA, etc.). Esse cookie é assinado com um certificado configurado no portal/gateway.

O problema descrito pelo fornecedor ocorre quando "authentication override cookies" estão habilitados e existe uma configuração de certificado específica — a Siemens, replicando a orientação da mitigação oficial, aponta que o risco surge quando o certificado usado para assinar/validar esses cookies é o mesmo certificado do portal/gateway (reutilizado), em vez de um certificado dedicado exclusivamente à função. Isso relaxa a garantia de integridade do cookie: um atacante com acesso de rede ao portal ou gateway consegue apresentar ou manipular um cookie que é aceito como prova de autenticação prévia, sem de fato ter passado pelo fluxo de login.

O fix do fornecedor passou a regenerar o cookie "usando um método mais seguro" — a nota de release confirma que a versão corrigida força reautenticação única de todos os usuários GlobalProtect após o upgrade, mesmo com cookie válido presente, o que indica mudança no esquema de assinatura/validação (provavelmente reforço de HMAC e isolamento de chave/certificado).

Vale notar uma divergência de score entre fontes: a página oficial do fornecedor usa CVSS v4.0 7.8 como métrica primária; o advisory da Siemens cita CVSS v3.1 9.3 para a mesma CVE. Isso reflete diferenças de escala entre as versões do CVSS, não uma correção posterior de severidade.

O vetor é rede (AV:N), sem necessidade de privilégios ou interação do usuário, com complexidade de ataque baixa segundo o CVSS v4.0 do fornecedor. Na prática, exige duas pré-condições que a manchete não deixa claras: (1) o portal ou gateway GlobalProtect precisa ter "Generate cookie for authentication override" ou "Accept cookie for authentication override" habilitado — recurso opcional, não ligado por padrão; e (2) a configuração de certificado específica que torna o cookie forjável/reutilizável (certificado do override compartilhado com o certificado de portal/gateway). Ambientes sem authentication override configurado não são explorável por esta falha.

O fornecedor afirma ter identificado "tentativas de exploração limitadas em dispositivos PAN-OS sem correção e sem mitigações aplicadas" — ou seja, exploração ativa confirmada, mas de escopo restrito segundo a própria Palo Alto Networks. A entrada no catálogo KEV da CISA, com prazo de remediação de apenas três dias (adicionada em 29/05, vencendo em 01/06), é atípica e sugere que a agência avalia o risco como mais urgente do que uma "exploração limitada" isolada sugeriria — normalmente reservado a cenários de exploração em massa ou de alto valor.

O resultado da exploração é uma conexão VPN estabelecida sem autenticação legítima, dando ao atacante acesso à rede interna exposta atrás do gateway GlobalProtect — daí o impacto "subsequente" alto de confidencialidade e integridade no CVSS v4.0 (SC:H/SI:H), mesmo com impacto direto no próprio produto classificado como baixo/nenhum.

A correção definitiva é atualizar para as versões corrigidas listadas pelo fornecedor. Após o upgrade, se authentication override estiver em uso, todos os usuários GlobalProtect precisam se reautenticar uma única vez, mesmo com cookie válido — é esperado, não é falha. Ambientes com Prisma Access híbrido (NGFW on-premises) devem atualizar todos os componentes on-premises para manter compatibilidade de cookie com a nuvem; atualizar parcialmente (só portal ou só gateway) quebra a compatibilidade do esquema de cookie entre componentes.

Se o upgrade imediato não for possível, o fornecedor lista dois paliativos reais: (1) usar um certificado dedicado exclusivamente para os cookies de authentication override, nunca reutilizando o certificado do portal/gateway nem compartilhando-o com outras funções — reduz o risco sem eliminar o recurso; (2) desabilitar completamente as opções de authentication override (desmarcar "generate"/"accept cookie") nos perfis de portal e gateway — elimina o vetor, mas tem custo de usabilidade: usuários voltam a passar pelo fluxo completo de autenticação (incluindo MFA/SSO) em cada reconexão, o que pode ser perceptível em ambientes com muitas reconexões de VPN.

Para upgrades em fases, o fornecedor documenta um comando de CLI para desabilitar temporariamente a validação estrita de HMAC do cookie entre firewalls já atualizados e não atualizados, apenas como medida de transição durante o rollout — não deve ser usado como mitigação permanente, pois reintroduz a fragilidade de validação que a correção elimina. Simplesmente restringir acesso de rede ao portal/gateway ajuda a reduzir superfície, mas não neutraliza a falha em ambientes onde o portal precisa ficar exposto para uso remoto legítimo.

Não há assinatura de exploração pública confirmada nas fontes consultadas — o fornecedor menciona apenas "tentativas de exploração limitadas" sem detalhar indicadores de comprometimento específicos. Como sinal indireto, vale auditar logs de autenticação do GlobalProtect por sessões VPN estabelecidas via cookie de authentication override fora do padrão esperado (por exemplo, reautenticação via cookie de origem de IP ou geolocalização atípica, ou cookies aceitos sem correspondência clara a uma sessão de login anterior registrada no mesmo portal/gateway), e por picos de conexões GlobalProtect bem-sucedidas sem prompt de MFA/SSO correspondente nos logs do provedor de identidade. Na ausência de assinatura conhecida, a auditoria de configuração (verificar se authentication override está habilitado e se o certificado é compartilhado com portal/gateway) é o controle de detecção mais confiável disponível hoje.