Kibernetska varnost in napadi
KO DEŠIFRIRANJE VELJA ZA DOKAZ PRISTNOSTI
CVE-2026-0257: kako je GlobalProtect sprejel ponarejen prijavni piškotek in zakaj pravilno šifriranje ni preprečilo obhoda avtentikacije
Drugi certifikat je deloval
V laboratoriju Rapid7 so pri preverjanju ranljivosti GlobalProtect preizkusili dva certifikata iz iste verige TLS. Z javnim ključem prvega so pripravili šifriran prijavni piškotek, vendar ga naprava ni sprejela. Nato so poskus ponovili z drugim certifikatom, označenim kot GP-Lab-CA. Tokrat je prehod GlobalProtect prijavo sprejel.
Raziskovalcem ni bilo treba pridobiti zasebnega ključa certifikata ali prestreči uporabnikovega veljavnega piškotka. Vsebino so ustvarili sami, uporabili javni ključ in jo predložili napravi, ki je opravila dešifriranje. Na strani prehoda je bil rezultat uspešna avtentikacija, čeprav predloženo dokazilo ni bilo izdano v zakonitem prijavnem postopku. [2]
Posebnost tega preizkusa ni bila uporaba certifikata overitelja kot taka. Šlo je za konkretno laboratorijsko konfiguracijo, v kateri se je ključ iz drugega certifikata izkazal za ustreznega za obdelavo prijavnega piškotka. Iz tega ni mogoče sklepati, da GlobalProtect v običajnih namestitvah uporablja zasebne ključe overiteljev ali da je vsaka certifikatna veriga primerna za enak napad. Preizkus je pokazal nekaj precej bolj določenega: naprava je lahko sprejela podatke, katerih izvor ni bil kriptografsko preverjen.
Palo Alto Networks je napako označil kot CVE-2026-0257 in jo objavil 13. maja 2026. Prizadela je določene konfiguracije portalov in prehodov GlobalProtect v sistemu PAN-OS ter ustrezne različice Prisma Access. Proizvajalec je opozoril, da lahko uspešna izraba omogoči nepooblaščeno povezavo VPN. Rapid7 je pozneje potrdil, da se je napaka izrabljala tudi zunaj laboratorija, skupna raziskava Group-IB in NyxLab pa je oktobra razkrila njeno vključitev v orodje napadalne kampanje k0t. [1][2][3]
Javni ključ je opravil svojo nalogo
GlobalProtect omogoča uporabo funkcionalnosti Authentication Override, ki po uspešni avtentikaciji ustvari piškotek za poznejše prijave. Dokler je dokazilo veljavno in ga naprava sprejema, se uporabniku ob ponovni povezavi ni treba znova avtenticirati po celotnem postopku. Takšna rešitev zmanjšuje ponavljajoče se prijavne zahteve, vendar mora prehod zanesljivo razlikovati med piškotkom, ki ga je izdala pooblaščena komponenta, in podatkom, ki ga je nekdo izdelal sam.
V ranljivi implementaciji se je piškotek šifriral z uporabo asimetrične kriptografije. Pošiljatelj je lahko uporabil javni ključ, naprava pa je vsebino dešifrirala s pripadajočim zasebnim ključem. Takšna zasnova je primerna za varovanje zaupnosti podatkov, namenjenih imetniku zasebnega ključa. Težava se pojavi, če aplikacija iz uspešnega dešifriranja sklepa tudi o pristnosti pošiljatelja.
Javni ključ pri tem ni skrivnost. Njegov namen je prav omogočiti šifriranje podatkov, ki jih bo pozneje lahko prebral ustrezni prejemnik. Kdor ima javni ključ, lahko z njim pripravi novo šifrirano sporočilo. Prejemnik pri dešifriranju ne dobi avtomatično še dokaza, da je vsebino ustvarila določena pooblaščena storitev.
Pri CVE-2026-0257 je bilo pomembno, kje je naprava uporabljala certifikat za prijavne piškotke. Če je bil isti certifikat dodeljen tudi javno dostopni storitvi TLS, je lahko napadalec pridobil njegov javni ključ iz certifikata, ki ga je ta storitev ponujala odjemalcem. Pri tem ni šlo za razkritje zasebnega ključa ali slabost protokola TLS. Napadalec je izkoristil običajno dostopnost javnega ključa in programsko napako v načinu, kako je GlobalProtect preverjal šifrirano vsebino. [1][2]
Iz obratnega inženirstva, ki ga je opravil Rapid7, je razviden tudi natančnejši potek. Raziskovalci so pregledali storitev v izvršljivi datoteki gpsvc, pri čemer so v ranljivi konfiguraciji uporabljali PAN-OS 10.2.8. V funkciji main_AuthWithCookie so sledili obdelavi prijavnega piškotka do funkcije main_DecryptAppAuthCookie. Ta je prejeti podatek dekodirala iz zapisa Base64 in ga dešifrirala z zasebnim ključem. [2]
Po dešifriranju so bili aplikaciji na voljo uporabniško ime, domena, identifikator gostitelja, podatki o odjemalcu, oddaljeni naslov in časovna oznaka. Časovni podatek je omogočal preverjanje veljavnosti piškotka, ni pa dokazoval njegovega izvora. Rapid7 pri analizirani poti ni našel preverjanja kriptografskega podpisa oziroma drugega ustreznega preverjanja pristnosti po dešifriranju.
Napadalec, ki je poznal ustrezni javni ključ, je lahko zato sestavil vsebino v pričakovani obliki, jo šifriral in jo poslal napravi. Če so bili izpolnjeni še drugi pogoji ranljive konfiguracije, je sistem takšno vsebino sprejel kot prijavno dokazilo. Kriptografskega algoritma ni bilo treba zlomiti; napačno je bilo uporabljeno njegovo zagotovilo.
Kaj je pomenil zapis o uspešni prijavi
Najzgodnejšo uspešno izrabo ranljivosti je Rapid7 zaznal 17. maja 2026. Naslednji dan, 18. maja, je njegova storitev MDR obravnavala opozorilo o sumljivi avtentikaciji prek VPN. Objavljeni dnevniški zapis je vseboval lokalni uporabniški račun admin, način avtentikacije Cookie, ime odjemalca GP-CLIENT in rezultat success. Dogodke s podobnimi značilnostmi so zaznali pri več strankah, v začetnem valu tudi s povezavami iz istega ponudnika gostovanja. [2]
Takšen zapis sam zase še ni dokaz ponarejanja piškotka. Lahko potrdi, da je naprava zahtevo obravnavala kot uspešno, ne pove pa celotnega poteka, v katerem je dokazilo nastalo. Rapid7 je zato pregledal podporne diagnostične podatke prizadetih naprav in ugotovil, da je bila omogočena uporaba prijavnih piškotkov Authentication Override, storitev Cloud Authentication Service pa je bila izključena. Analitiki so na podlagi okoliščin ocenili, da gre najverjetneje za izrabo CVE-2026-0257. Poznejši laboratorijski preizkus je potrdil izvedljivost mehanizma.
V poročilu je še ena pomembna omejitev. Pri osmih od desetih prizadetih okolij strank MDR so naprave sprejele ponarejene piškotke, ne da bi raziskovalci zaznali popolnoma vzpostavljeno sejo VPN. Drugje so opazili tudi dodelitev naslova VPN in nadaljnje zahtevke, povezane z vzpostavljanjem povezave. Zlasti drugi val, zaznan 21. maja, je vključeval primere, pri katerih je bila po avtentikaciji dodeljena omrežna povezava do notranjega okolja. [2]
Razlika ima neposredno forenzično posledico. Uspešno preverjanje piškotka je dogodek v avtentikacijskem postopku, medtem ko dejanska uporaba notranjega omrežja zahteva še nadaljnje korake. Če dnevnik kaže uspešno prijavo, iz njega ni mogoče brez dodatnih podatkov sklepati, da je napadalec že pridobil dostop do notranjih strežnikov. Nasprotno pa uspešno vzpostavljena povezava VPN še ne pove, katere sisteme je napadalec obiskal in kaj je na njih izvedel.
Rapid7 v majskem poročilu ni dokumentiral dokazov o uspešnem lateralnem premikanju v obravnavanih okoljih. To ugotovitev je treba omejiti na njegov raziskovalni vzorec in razpoložljivo telemetrijo. Poznejše preiskave Unit 42 so pri drugih primerih izrabe iste ranljivosti pokazale tudi nadaljnje napadalne dejavnosti po vzpostavitvi povezave VPN, vključno z raziskovanjem notranjega omrežja in posegi v virtualizacijsko infrastrukturo. [2][4]
Podatki iz različnih preiskav torej niso nasprotujoči si. Opisujejo različne primere in različno globino opaženega dostopa.
Oktobra je napaka dobila mesto v napadalnem postopku
Group-IB in NyxLab sta 21. oktobra 2026 predstavila skupno raziskavo dejavnosti, povezanih z operaterjem k0t. Preiskava je zajela kampanjo proti javno dostopnim omrežnim napravam, med drugim Fortinet FortiGate, FortiWeb in Palo Alto GlobalProtect. Med identificiranimi pripomočki je bil program exploit_2026_0257.py, ki je po lastni oznaki združeval pregledovanje naprav GlobalProtect in povezovanje prek VPN. [3]
Orodje je uporabljalo mehanizem ponarejanja prijavnih piškotkov, ki je bil že opisan v majski raziskavi. Iz javno dostopnega certifikata TLS je pridobilo javni ključ, pripravilo ustrezno šifrirano vsebino in preverilo, ali jo ciljna naprava sprejme. Pri napravah, ki so se odzvale na pričakovani način, je omogočalo nadaljevanje z vzpostavljanjem povezave prek odjemalca OpenConnect. Raziskovalci so dokumentirali tudi način, kako je program shranjeval pripravljeno dokazilo in ga predal naslednjemu koraku.
Pomembna sprememba v primerjavi z laboratorijskim preizkusom je bila organizacija dela. Raziskovalni dokaz koncepta je pokazal, da je ranljivost izvedljiva. Orodje iz kampanje k0t pa je bilo pripravljeno za pregledovanje večjega nabora ciljev in uporabo uspešnih rezultatov pri nadaljnjem povezovanju. Programska napaka, znana od maja, je bila tako vključena v praktičen postopek pridobivanja začetnega dostopa.
Objava ne omogoča popolne časovne rekonstrukcije vseh posameznih zlorab GlobalProtect. Datum 21. oktober označuje javno objavo raziskave, ne začetka dejavnosti operaterja ali datuma vsakega vdora. Tudi povezava kampanje s poznejšimi objavami izsiljevalskih skupin ostaja raziskovalna ocena. Group-IB in NyxLab sta identificirala določena prekrivanja med žrtvami, nista pa potrdila neposrednega organizacijskega razmerja med k0t in posameznimi izsiljevalskimi skupinami.
Poročilo Unit 42 z oktobrsko posodobitvijo ločeno navaja uporabo CVE-2026-0257 pri operaterjih skupin Qilin in Inc. Ta ugotovitev potrjuje širšo uporabnost istega začetnega vektorja, ne vzpostavlja pa sama po sebi povezave z operaterjem k0t. Za presojo varnostne napake je bistven dokumentirani mehanizem, ne ugibanje o identiteti vseh njegovih uporabnikov. [4]
Zakaj namenski certifikat ne odpravi vzroka
Palo Alto Networks je ob objavi varnostnega opozorila navedel možnost izključitve funkcionalnosti Authentication Override oziroma uporabo novega certifikata, namenjenega izključno prijavnim piškotkom. Proizvajalec izrecno opozarja, da certifikata ni dovoljeno deliti s portalom, prehodom ali drugimi storitvami. Če se je prej že uporabljal za druge namene, njegova poznejša odstranitev iz teh storitev ni zadosten ukrep; ustvariti je treba novega. [1]
Takšna ločitev zmanjšuje možnost izrabe opisanega napadalnega postopka. Javni ključ namenskega certifikata ni samodejno dosegljiv prek običajne storitve TLS, zato napadalec ne more nujno uporabiti iste metode za pridobitev ustreznega ključa. To je pomembno zmanjšanje izpostavljenosti, posebej kadar organizacija zaradi operativnih omejitev še ne more takoj nadgraditi vseh naprav.
Namenski certifikat pa ni nadomestilo za kriptografsko preverjanje pristnosti. Javni ključ lahko postane dostopen tudi drugače, sama aplikacija pa v ranljivi različici še vedno sprejema odločitev na podlagi nezadostnega preverjanja. Ukrep torej oteži znano pot do ranljivosti, ne spremeni pa napačne programske predpostavke.
Popravek poseže v način ustvarjanja in preverjanja piškotkov. Proizvajalčeva dokumentacija potrjuje uvedbo strogega preverjanja HMAC, ki se opira na skrivni ključ. Pri pravilni izvedbi lahko prejemnik preveri, ali je vsebina opremljena z ustrezno overitveno vrednostjo in ali je bila po njeni izdelavi spremenjena. Poznavanje javnega certifikata za izdelavo veljavnega HMAC ne zadošča. [1][5]
HMAC sicer ne zagotavlja istega kot digitalni podpis. Če si več komponent deli enak skrivni ključ, iz veljavne overitvene vrednosti ni mogoče ugotoviti, katera od njih je izdelala sporočilo. Za primer GlobalProtect pa je odločilno, da izdelava ustreznega dokazila zahteva znanje, ki ni javno dostopno vsakomur, ki pozna certifikat naprave.
Tudi takšna rešitev ostaja odvisna od varovanja skrivnega ključa in pravilne uporabe overitvenega mehanizma. Proizvajalčevo dokumentacijo je zato treba razumeti kot opis popravka konkretne pomanjkljivosti, ne kot zagotovilo, da so vse druge možnosti zlorabe prijavnih dokazil izključene.
Nameščen popravek še ni konec pregleda
Pri GlobalProtect lahko več portalov in prehodov ustvarja ali sprejema prijavne piškotke. Sprememba njihovega formata in preverjanja zato vpliva na združljivost med različnimi različicami PAN-OS. Palo Alto Networks priporoča nadgradnjo vseh ustreznih komponent, pri čemer morajo uporabniki po posodobitvi opraviti enkratno ponovno avtentikacijo, tudi če njihov dotedanji piškotek še ni potekel. [1]
Za postopno nadgradnjo mešanega okolja je proizvajalec predvidel možnost začasne izključitve strogega preverjanja HMAC. Nastavitev enable-auth-override-cookie-hmac lahko v takšnem primeru ohrani združljivost s starejšimi piškotki. Dokumentacija pa hkrati določa, da se s tem naprava vrne na prejšnji način njihove obdelave in da je treba strogo preverjanje po koncu nadgradnje ponovno omogočiti.
Skrbnik lahko torej namesti popravljeno različico PAN-OS, naprava pa zaradi prehodne nastavitve še naprej sprejema dokazila po starejšem postopku. Različica programske opreme in dejansko uveljavljena zaščita v takšnem primeru nista enakovredna podatka. Za presojo stanja je treba preveriti oboje.
Prvi del tehničnega pregleda je ugotovitev, katere naprave sploh izpolnjujejo pogoje izpostavljenosti. Pomembne so konkretna različica PAN-OS, nastavitve ustvarjanja in sprejemanja piškotkov Authentication Override ter uporaba certifikatov. Podatek, da organizacija uporablja GlobalProtect, ne zadošča, saj ranljivost zahteva določeno konfiguracijo. Prav tako ni dovolj preveriti samo glavne različice PAN-OS, ker proizvajalec za različne veje navaja različne popravljene izdaje in hitre popravke. [1]
Drugi del je preverjanje uporabe popravljenega postopka v celotnem okolju. Če so prisotni zunanji in notranji prehodi, je treba zajeti vse komponente, ki sodelujejo pri izdajanju in sprejemanju piškotkov. Smiselno je dokumentirati tudi morebitno začasno izključitev HMAC, razlog zanjo in datum ponovne vključitve. Brez tega lahko poznejši pregled napačno pripiše polni zaščitni učinek že sami izvedbi nadgradnje.
Tretji del se nanaša na obdobje pred odpravo ranljivosti. Rapid7 in Unit 42 sta objavila kazalnike, med katerimi so značilna imena odjemalcev, naslovi IP in drugi podatki iz dnevnikov GlobalProtect. Uporabni so za usmerjeno preiskavo, vendar njihovo posamezno ujemanje ne dokazuje uspešnega vdora. Potrebna je povezava med avtentikacijskim dogodkom, morebitno dodelitvijo naslova VPN, vzpostavitvijo seje in kasnejšo omrežno dejavnostjo. [2][4]
Zapis o sprejetem piškotku lahko tako ostane edini dokaz poskusa izrabe. V drugem primeru mu lahko sledijo dogodki, ki potrjujejo povezavo VPN, pregledovanje notranjih storitev ali dostop do dodatnih naprav. Ti dve ugotovitvi zahtevata različen odziv in različno oceno posledic.
Popravek zmanjša tveganje prihodnje izrabe znanega mehanizma, vendar ne pojasni dogodkov, ki so nastali pred njegovo uvedbo. Če ustrezni dnevniki niso več na voljo, mora preiskovalna ugotovitev vsebovati tudi to omejitev. Odsotnosti ohranjenih zapisov ni mogoče obravnavati kot dokaz, da poskusov izrabe ni bilo.
Kaj je naprava v resnici potrdila
Laboratorijski preizkus Rapid7 se je končal z uspešno avtentikacijo ob uporabi javnega ključa iz drugega certifikata v verigi. Naprava je znala prebrati predloženi piškotek in je njegovo vsebino sprejela. Pri tem ni imela ustreznega kriptografskega dokaza, da je bilo dokazilo ustvarjeno v pooblaščenem postopku.
Pozneje opaženi napadi in orodje kampanje k0t so pokazali, zakaj je ta implementacijska podrobnost pomembna tudi zunaj laboratorija. Priprava novega šifriranega sporočila je lahko nadomestila pridobitev zakonito izdanega prijavnega dokazila, kadar so bili izpolnjeni pogoji ranljive konfiguracije.
Za upravljavca GlobalProtect ostaja po nadgradnji povsem konkretna naloga: poleg popravljene različice preveriti uporabljene certifikate, veljavnost strogega preverjanja HMAC in dnevnike morebitnih predhodnih dostopov. Šele takšna evidenca omogoča razlikovanje med odpravljeno programsko napako in še nerazjasnjenim varnostnim dogodkom.
V obravnavanem primeru je dešifriranje uspelo. Naprava je iz tega sklepala več, kot je uporabljeni kriptografski postopek lahko dokazal.
EVIDENCE PROFILE
Dokazni profil članka
Profil pokaže vrsto dokazne podlage in omejitve osrednjega argumenta.
Viri
- 01ADVISORYPalo Alto NetworksCVE-2026-0257 PAN-OS: GlobalProtect Authentication Bypass Vulnerabilities
Objavljeno: 2026-05-13. Posodobljeno 3. junija 2026; pogoji izpostavljenosti, popravek in HMAC
Odpri vir ↗ - 02PRIMARY RESEARCHRapid7Rapid7 Observed Exploitation of PAN-OS GlobalProtect Authentication Bypass Vulnerability (CVE-2026-0257)
Objavljeno: 2026-05-29. Tehnični mehanizem, opažena izraba, laboratorijski PoC; dopolnjeno do 3. junija 2026
Odpri vir ↗ - 03PRIMARY RESEARCHGroup-IB in NyxLabStray Cat, Open Doors: How k0t Wanders Through the Network Edge
Objavljeno: 2026-10-21. Analiza kampanje k0t in orodja exploit_2026_0257.py
Odpri vir ↗ - 04PRIMARY RESEARCHPalo Alto Networks Unit 42Active Exploitation of May 2026 PAN-OS CVE-2026-0257
Objavljeno: 2026-06-05. Dopolnjeno 19.–20. oktobra 2026; opažene dejavnosti in kazalniki
Odpri vir ↗ - 05STANDARDIETFHMAC: Keyed-Hashing for Message Authentication
Objavljeno: 1997-02. RFC 2104, razdelka 1 in 2
Odpri vir ↗