VPN：“最受信任”的安全工具，直到Claude用一个周末将其击溃

要点

• 研究人员使用Claude辅助逆向PAN-OS固件，发现GlobalProtect CAS认证中的JWT算法混淆漏洞。
• 漏洞允许攻击者使用HS256代替RS256，以CAS签名证书作为HMAC密钥伪造JWT，从而绕过认证。
• 攻击者仅需知道目标用户名（通常为电子邮件地址）即可劫持VPN登录。
• Palo Alto Networks已意识到问题，但建议用户立即更新受影响的PAN-OS版本。