PAN-OS: Unauthenticated user initiated Buffer Overflow Vulnerability in User-ID™ Authentication Portal

Falha de buffer overflow (out-of-bounds write) no serviço User-ID Authentication Portal (Captive Portal) do PAN-OS, que permite execução de código como root sem autenticação, via pacotes especialmente construídos. O CVSS 9.3 é justificado apenas quando o portal está exposto a rede não confiável — a própria Palo Alto Networks reduz a severidade prática ao ressaltar que restringir acesso a IPs internos confiáveis mitiga a maior parte do risco. Está no catálogo KEV da CISA com exploração confirmada em portais expostos à internet.

A vulnerabilidade é classificada como CWE-787 (Out-of-bounds Write) no serviço de Captive Portal do PAN-OS, componente responsável por autenticar usuários via redirecionamento HTTP (modo transparente ou redirect) antes de liberar acesso à rede. O fornecedor não detalhou a rotina de parsing específica nem o campo do pacote que gera o overflow — apenas confirma que pacotes 'especialmente construídos' enviados ao serviço causam escrita fora dos limites de um buffer, resultando em execução de código arbitrário com privilégios de root no dano-firmware do PA-Series e VM-Series.

O atacante não precisa de autenticação nem de interação do usuário (UI:N, PR:N no vetor CVSS 4.0), e a complexidade de ataque é baixa (AC:L) — basta alcançar a interface de rede onde o Authentication Portal escuta. O impacto no CVSS4 mostra VC:H/VI:H/VA:H no produto vulnerável (confidencialidade, integridade e disponibilidade totalmente comprometidas), com impacto subsequente mais limitado (SC:L/SI:L/SA:N) refletindo o alcance do comprometimento fora do próprio firewall.

Dois fatores de configuração determinam se um equipamento está realmente exposto: (1) o Authentication Portal precisa estar habilitado em Device > User Identification > Authentication Portal Settings; e (2) precisa existir um Interface Management Profile com 'Response Pages' habilitado, atrelado a uma interface L3 em zona onde tráfego não confiável (internet) possa entrar. Sem essas duas condições simultâneas, o vetor de ataque remoto não existe — isso é o dado mais relevante da CVE, porque a manchete 'unauthenticated RCE crítico em firewall Palo Alto' sugere exposição universal, quando na prática depende de uma escolha explícita de configuração exposta à internet.

Cloud NGFW e Panorama não são afetados, segundo o próprio fornecedor — apesar de aparecerem listados como 'produtos afetados' nos metadados da CVE, o texto do advisory da Palo Alto Networks é explícito: 'Prisma Access, Cloud NGFW and Panorama appliances are not impacted by this vulnerability'. Isso é uma divergência entre os metadados agregados da CVE e o conteúdo do advisory oficial — prevalece o texto do fornecedor.

A exploração ocorre via rede, sem necessidade de credenciais, contra a porta/serviço onde o Authentication Portal responde — tipicamente em uma interface L3 configurada para aceitar tráfego de zonas não confiáveis, com response pages habilitadas. Isso torna o ataque automatizável (Automatable: YES no CVSS4) e de baixo esforço técnico para quem já possui ou obtém o PoC público. A Palo Alto Networks classifica a maturidade do exploit como 'ATTACKED' e relata exploração limitada observada especificamente contra portais expostos a IPs não confiáveis ou à internet pública — não há indicação de exploração massiva contra ambientes configurados segundo as boas práticas de restrição de acesso.

O resultado final de uma exploração bem-sucedida é execução de código arbitrário com privilégios de root no firewall — controle total do equipamento, incluindo capacidade de inspecionar, redirecionar ou interromper todo o tráfego que passa por ele, além de servir como pivô para a rede interna. Não há relato de uso confirmado em campanhas de ransomware até a atualização da entrada no catálogo KEV.

A CISA adicionou a CVE ao catálogo KEV com prazo de correção de apenas três dias (adicionada em 06/05/2026, prazo em 09/05/2026), refletindo a gravidade atribuída à exploração ativa contra ativos federais e a facilidade de automação do ataque. Isso é atípico — prazos KEV costumam ser de duas semanas — e sinaliza que a exploração observada foi considerada urgente pelo próprio governo dos EUA.

A correção definitiva é atualizar para as versões corrigidas por branch (ver versions_fixed). Não existe patch único: cada linha de manutenção (10.2, 11.1, 11.2, 12.1) recebeu builds específicos, e versões PAN-OS mais antigas não suportadas precisam migrar para uma branch com suporte antes de aplicar a correção.

Se a atualização imediata não for viável, o próprio fornecedor descreve dois paliativos reais: restringir o acesso ao Authentication Portal apenas a zonas/IPs internos confiáveis e, adicionalmente, desabilitar 'Response Pages' no Interface Management Profile de toda interface L3 em zona onde tráfego não confiável (internet) possa ingressar — mantendo Response Pages habilitado só nas interfaces internas onde usuários legítimos acessam. A segunda opção, mais direta quando o portal não é necessário, é simplesmente desabilitar o User-ID Authentication Portal. Clientes com assinatura Threat Prevention podem habilitar o Threat ID 510019 (a partir do conteúdo de Applications and Threats versão 9097-10022) como controle compensatório de detecção/bloqueio de rede — mas essa capacidade de decoder exige PAN-OS 11.1 ou versão posterior, então não cobre a branch 10.2.

Mitigação que NÃO funciona: apenas restringir o painel de gerenciamento administrativo (interface de management) não resolve, pois a exposição vulnerável é a interface de dados por onde passa o tráfego de usuários que acionam o Captive Portal — são planos distintos. Dispositivos industriais que empacotam o PAN-OS Virtual NGFW, como o RUGGEDCOM APE1808 da Siemens, dependem de atualização própria do fabricante da plataforma (versão V11.2.10-h6 citada pela Siemens) e não apenas do patch da Palo Alto Networks isoladamente.

O advisory oficial não descreve assinaturas de payload ou padrões de pacote específicos publicamente — a defesa primária de detecção/bloqueio é a assinatura de Threat ID 510019 do Threat Prevention da Palo Alto Networks (requer content version 9097-10022 ou posterior e decoder disponível a partir de PAN-OS 11.1). Sem essa assinatura, não há sinal confiável documentado nas fontes para identificar tentativas de exploração — vale monitorar logs de acesso ao Authentication Portal originados de IPs externos/não confiáveis, já que a exploração observada em campo se concentrou exatamente em portais expostos à internet, e crashes inesperados do processo do Captive Portal ou reinícios do firewall sem causa administrativa conhecida merecem investigação como possível indicador de tentativa de overflow.