CVE-2026-76504: Cisco Catalyst SD-WAN Manager API-hitelesítésének megkerülése rendszergazdai hozzáférést ad

Mi történt

A Cisco Catalyst SD-WAN Manager API-munkamenet-alapú hitelesítése sérülékenységet tartalmaz. A HTTP-kérésekben szereplő URI-kódolás nem megfelelő kezelése lehetővé teheti, hogy egy távoli, hitelesítés nélküli támadó megkerüljön egy adott API-végpontra vonatkozó hitelesítési szabályt. Ehhez nincs szükség hitelesítő adatokra vagy felhasználói beavatkozásra; a támadónak csupán hálózati hozzáférésre van szüksége ahhoz, hogy egy speciálisan kialakított HTTP-kérést küldjön.

Sikeres kihasználás esetén a támadó a rendszergazdai (admin) felhasználó jogosultságaival fér hozzá az érintett rendszerhez. A Cisco ezt kritikusnak minősíti: a CVSS 3.1 szerinti pontszám 9,8, a sérülékenység pedig magas hatással van a bizalmasságra, a sértetlenségre és a rendelkezésre állásra.

A kihasználás aktív. A Cisco PSIRT közölte, hogy 2026 szeptemberében szerzett tudomást az aktív kihasználásról, és határozottan javasolja a frissítést. A CISA 2026. szeptember 30-án felvette a sérülékenységet a Known Exploited Vulnerabilities katalógusába, és a CISA SSVC-értékelése szintén aktív kihasználást jelez.

Kit érint

A Cisco az alábbi Cisco Catalyst SD-WAN Manager kiadásokat sorolja fel érintettként: 17.2.10, 18.2.0, 18.3.6, 18.3.6.1, 18.3.7, 18.3.8, 18.4.1 és 18.4.3.

A gyártó biztonsági közleménye a kockázatcsökkentés szempontjából különbséget tesz a telepítési típusok között. A helyszíni (on-premises) telepítésű ügyfélkörnyezetek esetében a Cisco a nem biztonságos hálózatok, például az internet felől történő hozzáférés korlátozását javasolja. A Cisco Catalyst SD-WAN Cloud Hosted környezetek esetében a Cisco szerint a kockázatcsökkentő intézkedést már alkalmazták.

Mit kell most tenni

1. Frissítsen a Cisco Catalyst SD-WAN Manager javított szoftverkiadására. A Cisco közlése szerint a javított verzió elérhető, és határozottan javasolja az ügyfeleknek a frissítést. A konkrét javított verziószámok itt nem szerepelnek, ezért a telepítés előtt a célverziót ellenőrizze a Cisco biztonsági közleményében.
2. Alkalmazza a gyártó kockázatcsökkentő intézkedését a helyszíni telepítéseknél. A sérülékenységet orvosló kerülő megoldás nem áll rendelkezésre, a Cisco azonban a nem biztonságos hálózatok, például az internet felől történő hozzáférés korlátozását javasolja. Ha internetes hozzáférésre van szükség, csak ismert, megbízható hosztok számára engedélyezze a hozzáférést a felhasználói útmutatókban szereplő portokon és protokollokon.
3. Helyezze a Cisco Catalyst SD-WAN Control Components összetevőit egy szűrőeszköz, például tűzfal mögé, és csak ismert, megbízható hosztok küldhessenek forgalmat a rendszer felé.
4. A felhőben üzemeltetett környezeteknél vegye figyelembe, hogy a Cisco szerint ezt a kockázatcsökkentő intézkedést már alkalmazták.

Hogyan észlelhető

A támadási felület az SD-WAN Manager API, és egy hitelesítés nélküli kérés rendszergazdai szintű API-hozzáférést eredményezhet. Keresse a váratlan, rendszergazdai szintű API-munkameneteket, különösen az internet felől elérhető vagy nem megbízható címekről, valamint azokat a konfigurációs módosításokat, amelyeket az API-n keresztül, a szokásos változtatási időablakokon kívül hajtottak végre. A Cisco biztonsági közleménye nem sorol fel konkrét kompromittálódásra utaló jeleket.

A javításon túl

Ez egy hitelesítést nem igénylő, hálózaton keresztül elérhető sérülékenység, amely rendszergazdai szintű hozzáférést adhat, és a Cisco szerint aktívan kihasználják. A biztonsági javítások telepítése az azonnali prioritás. Ezen túl a folyamatos észlelés és reagálás mellett szóló érv közvetlen: a Menedzselt kiberbiztonsági felügyelet (MDR) figyelemmel kísérheti azokat a váratlan, rendszergazdai szintű API-tevékenységeket, amelyeket ez a hiba lehetővé tesz, a Virtuális CISO szolgáltatás (vCISO) pedig segíthet abban, hogy az ilyen felügyeleti interfészek ne maradjanak elérhetők megbízhatatlan hálózatok felől.