Krytyczna podatność w produktach CISCO
CSIRT CeZ ostrzega: w produktach Cisco wykryto poważną podatność, która umożliwia zdalne, nieuwierzytelnione wykonanie poleceń systemowych. Luka stanowi wysokie zagrożenie, ponieważ może prowadzić do przejęcia kontroli nad podatnym urządzeniem, w tym do eskalacji uprawnień do poziomu roota.
Charakterystyka podatności
- Oznaczenie: CVE‑2026‑20045
- Score CVSS 3.1: 8,2 (High)
Jak działa podatność
Podatność wynika z nieprawidłowej walidacji danych wejściowych w żądaniach HTTP obsługiwanych przez interfejs zarządzania podatnych urządzeń Cisco. Nieuwierzytelniony atakujący może:
- wysłać spreparowane żądania HTTP,
- doprowadzić do wykonania dowolnych poleceń w systemie operacyjnym,
- uzyskać dostęp na poziomie użytkownika, a następnie eskalować uprawnienia do poziomu roota.
Skuteczne wykorzystanie podatności może doprowadzić do naruszenia:
- poufności (pełny wgląd w dane systemowe),
- integralności (możliwość modyfikacji konfiguracji i plików),
- stabilności środowiska (wykonywanie dowolnych komend).
Podatne systemy
Podatność dotyczy następujących produktów Cisco:
- Cisco Unified Communications Manager (Unified CM)
- Cisco Unified CM Session Management Edition (SME)
- Cisco Unified CM IM & Presence Service (IM&P)
- Cisco Unity Connection
- Cisco Webex Calling – Dedicated Instance
Działania zapobiegawcze
Zalecamy:
- niezwłoczną aktualizację podatnych produktów do wersji wskazanej przez producenta,
- weryfikację konfiguracji interfejsów zarządzania HTTP,
- ograniczenie ekspozycji paneli administracyjnych wyłącznie do zaufanych adresów,
- wykonanie przeglądu logów pod kątem nietypowych żądań HTTP.
Szczegóły aktualizacji dostępne są w oficjalnym komunikacie Cisco.
Dlaczego to ważne
Brak wymogu uwierzytelnienia, niska złożoność ataku oraz możliwość wykonania poleceń prowadzących do pełnej eskalacji uprawnień sprawiają, że podatność stanowi poważne zagrożenie dla infrastruktury komunikacyjnej. Jej wykorzystanie może skutkować pełnym przejęciem urządzenia i dalszą eskalacją ataku w środowisku organizacji. Podatność jest aktywnie wykorzystywana.