Агентство по кибербезопасности и защите инфраструктуры США (CISA) в среду добавило критическую уязвимость обхода аутентификации, затрагивающую Cisco Catalyst SD-WAN Manager, в свой каталог известных эксплуатируемых уязвимостей (KEV) после сообщений об активной эксплуатации. Уязвимость, отслеживаемая как CVE-2026-76504 (оценка CVSS: 9,8), может позволить неаутентифицированному удаленному злоумышленнику получить доступ к затронутой системе с привилегиями администратора. «Cisco Catalyst SD-WAN Manager содержит уязвимость кодирования hex, которая может позволить неаутентифицированному удаленному злоумышленнику получить доступ к затронутой системе с привилегиями администратора из-за неправильной обработки кодирования URI в HTTP-запросе», — заявили в CISA. Успешная эксплуатация может позволить злоумышленнику обойти аутентификацию, отправив специально сформированный HTTP-запрос к API затронутой системы, и получить доступ к API от имени администратора. Это произошло после того, как Cisco сообщила об осведомленности об активной эксплуатации CVE-2026-76504 в сентябре 2026 года. Производитель сетевого оборудования предоставил индикаторы компрометации (IoC), которые клиенты могут использовать для проверки того, затронуты ли их среды: Проверить файл «/var/log/nms/containers/service-proxy/serviceproxy-access.log» на наличие записей, связанных с j_security_check, с неизвестных или неавторизованных IP-адресов. Проверить файл «/var/log/nms/vmanage-server.log» на наличие записей, связанных с j_security_check, с неизвестных или неавторизованных IP-адресов, в частности, вызываемых для пользователей, имена которых начинаются с «viptela-reserved-». Cisco не предоставила никаких подробностей об активности эксплуатации, о том, кто за ней стоит, сколько организаций было скомпрометировано на данный момент или когда произошел первый случай эксплуатации CVE-2026-76504. Федеральные агентства исполнительной власти США (FCEB) имеют время до 3 октября 2026 года для применения исправлений. «Cisco SD-WAN кажется постоянным элементом в списке известных уязвимостей CISA, причем в этом году в KEV попали восемь CVE 2026 года — это должно быть очень ясным сигналом того, что злоумышленники признали ценность платформы, и эта тенденция вряд ли замедлится», — заявил Джейк Нотт, руководитель отдела анализа угроз в watchTowr. «Ничто из этого не должно никого удивлять. Поскольку это единая точка управления, используемая предприятиями для управления, настройки и мониторинга больших сетей, она, естественно, является привлекательной целью». Организациям, использующим Catalyst SD-WAN Manager, рекомендуется как можно скорее обновиться до исправленной версии и следовать рекомендациям поставщика для поиска POST-запросов к любым URL-кодированным вариантам «/j_security_check» и проверки экземпляров на наличие признаков эксплуатации.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Ravie Lakshmanan
