Távoli kódfuttatás a Cisco Expressway adatbázis-szolgáltatásában – hitelesítés nélküli támadók rootként futtathatnak parancsokat (CVE-2026-76466)

Mi történt

Az a hitelesítést nem igénylő támadó, aki hálózaton keresztül eléri a Cisco Expressway eszközt, kihasználhatja ezt a sérülékenységet, hogy rootként futtassa az operációs rendszer parancsait. A sérülékenység abból ered, hogy az adatbázis-szolgáltatás állandó cookie-kat használ. Emellett, ha a TLS Verify Mode beállítás a fürtözésnél Enabled értékű, a kliens tanúsítványok érvényesítése elmarad. A cookie-k birtokában lévő támadó csatlakozhat az adatbázis-szolgáltatáshoz, és meghatározott távoli eljáráshívási parancsokat indíthat.

A CVSS-vektor hálózati szintű, alacsony bonyolultságú, jogosultságot és felhasználói interakciót nem igénylő támadást ír le, amely a bizalmasságra, a sértetlenségre és a rendelkezésre állásra egyaránt nagy hatással van. A Cisco a hibát kritikusnak minősíti, 9,8-as pontszámmal. A Cisco PSIRT közlése szerint nem ismer a sérülékenységgel kapcsolatos nyilvános bejelentést vagy rosszindulatú kihasználást.

Kit érint

A Cisco Expressway Series a Cisco Expressway Core (Expressway-C) és a Cisco Expressway Edge (Expressway-E) eszközöket jelöli. A CVE-rekordban az érintett termék a Cisco TelePresence Video Communication Server (VCS) Expressway, és a Cisco az alábbi kiadásokat sorolja fel: X8.1.1, X8.2.2, X8.6, X8.8.3, X8.11.0, X8.11.2, X8.11.3 és X12.5.2. Ha a telepítés ezen kiadások valamelyikét használja, érintettként kell kezelni. Az Expressway eszközök jellemzően hívásvezérlést, átjárást és tűzfalkapcsolatot biztosítanak videokonferenciához, és gyakran az internet felől is elérhetők, ami miatt a hiba ellenőrzése különösen sürgős.

Mit kell most tenni

1. Telepítse a Cisco javítását. A Cisco közlése szerint javított szoftver áll rendelkezésre. Tekintse át a Cisco biztonsági közleményét a https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-vcs-static-cred-hr7EWZ8t címen, hogy megtalálja az Ön telepítésére vonatkozó frissítési útvonalat, majd mielőbb telepítse a szokásos Cisco-frissítési folyamaton keresztül.

1. Mivel a Cisco közlése szerint nincs kerülő megoldás, a frissítés telepítéséig korlátozza az adatbázis-szolgáltatás és az Expressway felügyeleti interfészeihez való hálózati hozzáférést. Csak megbízható üzemeltetői hálózatokból engedélyezze a kapcsolódást, és figyelje a váratlan forgalmat.

1. A frissítés után ellenőrizze, hogy az eszköz már javított kiadást futtat, és győződjön meg arról, hogy a javítás telepítése előtt nem hoztak létre jogosulatlan fiókokat, illetve nem hajtottak végre jogosulatlan konfigurációs módosításokat.

Hogyan észlelhető

A Cisco nem tett közzé a sérülékenységre vonatkozó konkrét, kompromittálódásra utaló jeleket. Mivel a támadási út az adatbázis-szolgáltatáshoz hitelesítés nélkül történő csatlakozás, vizsgálja át a naplókat az adatbázis-szolgáltatáshoz érkező váratlan kapcsolódások és az érintett Expressway eszközökön rootként futó új vagy szokatlan folyamatok után. Ellenőrizze továbbá a gyanús adatbázis-szolgáltatási tevékenység ideje körül végrehajtott fiókmódosításokat is.

A javításon túl

A javításon túl ez emlékeztető is arra, hogy az internet felől elérhető infrastruktúrát kitettségként kell térképezni, nem szabad automatikusan biztonságosnak feltételezni. A Virtuális CISO szolgáltatás segít azonosítani azokat a szolgáltatásokat és portokat, amelyek hitelesítő adatok nélkül elérhetők – ez az a kitettség, amely miatt az ilyen típusú sérülékenységek valódi kockázatot jelentenek. A Menedzselt kiberbiztonsági felügyelet pedig olyan megfigyelést biztosít, amely képes észlelni a root szintű parancsvégrehajtást és a fiókokkal való visszaélést az Expressway-hez hasonló eszközökön egy kompromittálódási kísérlet után.