VPN：“最受信任”的安全工具，直到Claude用一個週末將其擊潰

要點

• 研究人員使用Claude輔助逆向PAN-OS固件，發現GlobalProtect CAS認證中的JWT算法混淆漏洞。
• 漏洞允許攻擊者使用HS256代替RS256，以CAS簽名證書作為HMAC密鑰偽造JWT，從而繞過認證。
• 攻擊者僅需知道目標用户名（通常為電子郵件地址）即可劫持VPN登錄。
• Palo Alto Networks已意識到問題，但建議用户立即更新受影響的PAN-OS版本。