🔴 CVE‑2026‑20245 — Cisco SD‑WAN Manager (vManage)
1) خلاصه
- جزء: Cisco Catalyst SD‑WAN Manager (vManage)
- شناسه CVE: CVE-2026-20245
- وزن: HIGH (CVSS 7.8)
- نوع حمله: افزایش امتیازات محلی تأیید شده → اجرای دستور root
- وضعیت عملیاتی: به طور فعال در طبیعت مورد بهره برداری قرار می گیرد
- وضعیت پچ: ❗ پچ موجود نیست (از ژوئن 2026)
2) جزئیات فنی (علت ریشه + مکانیک اکسپلویت)
کلاس آسیب پذیری
علت اول
آسیب پذیری ناشی از:
- اعتبار سنجی ناکافی ورودی کاربر در CLI
- به طور خاص در پردازش فایل های آپلود شده یا ورودی های مبتنی بر فایل
روش عملیاتی
مهاجم:
- سود دسترسی در سطح نتادمین (مستقیم یا از طریق یک اکسپلویت زنجیره ای)
- آپلودها a فایل تولید شده به Cisco Catalyst SD-WAN Manager
- پردازش را از طریق CLI آغاز می کند
- به دست می آورد:
- تزریق دستوری
- عملکرد به عنوان کاربر ریشه
👈 نتیجه: به خطر افتادن کل سیستم
3) پیش نیازها و زنجیره حمله
پیش نیازها
- دسترسی تایید شده با امتیازات نتادمین
الگوی حمله دنیای واقعی (مهم)
در واقع، مهاجمان این CVE را به عیوب دیگر پیوند دهید، عمدتا:
- CVE‑2026‑20182 (Authentication Bypass)
- CVE‑2026‑20127 (Authentication Bypass)
➡️ آنها به مهاجمان اجازه می دهند:
- دسترسی مدیریت اولیه را از راه دور دریافت کنید
- سپس از طریق CVE‑2026‑20245 به روت افزایش یابد
✅ از نظر معماری امنیتی (مناسب با نقش شما):
این «تشدید امتیازات محلی» را تبدیل به سازش کامل از راه دور موثر وقتی زنجیر می شود
4) تجزیه و تحلیل تاثیر (ریسک شرکت)
تاثیر مستقیم
عملیات موفقیت آمیز اجازه می دهد:
- کنترل سطح پایه مدیریت SD-WAN
- دسترسی کامل به:
- سیاست ها
- تنظیمات
- هواپیمای کنترل دستگاه
پیامدهای شبکه
از آنجایی که vManage است ارکستراتور مرکزی، مهاجم می تواند:
- فشار دادن تنظیمات مخرب به تمام دستگاه های نهایی
- تغییر:
- سیاست های مسیریابی
- تنظیمات VPN
- مدیریت ترافیک
- به طور بالقوه:
- رهگیری ترافیک
- قطع ارتباط
- دور زدن تقسیم بندی
👉 سیسکو تایید کرد:
- موارد مشاهده شده که در آن تغییرات پیکربندی پس از بهره برداری به دستگاه های جانبی هدف گذاری شده است
5) سیستم های تحت تأثیر
همه استقرارهای Cisco Catalyst SD-WAN مدیر (vManage) تحت تأثیر قرار می گیرند:
- استقرار On-Prem
- Cisco SD‑WAN Cloud / Cloud‑Pro
- توسط Cisco SD‑WAN مدیریت می شود
- موارد دولت / FedRAMP
⚠️ هنوز هیچ نسخه ای به صراحت به عنوان امن علامت گذاری نشده است (تا زمانی که یک پچ منتشر شود).
6) تشخیص (IOC / پزشکی قانونی)
سیسکو توصیه می کند که بررسی کنید:
نشانگرهای فایل لاگ
- فایل:
/var/log/scripts.log - به دنبال عملیات فایل مشکوک مدیریت شده توسط CLI باشید، مانند:
vconfd_script_upload_*رکوردهای سبک
آنها می توانند نشان دهند:
- آپلود فایل های مخرب
- تلاش برای استثمار
7) اقدامات کاهشی و توصیه شده
❗ واقعیت فعلی
- هیچ پچ مستقیمی وجود ندارد
- هیچ راه حلی وجود ندارد موجود است
🔧 اقدامات فوری (تعطیل عملی)
با توجه به محیط SD-WAN خود، اولویت بندی کنید:
1. کنترل دسترسی را سخت کنید
- محدود کنید دسترسی دقیق نتادمین
- حسابرسی:
- حساب های محلی
- دسترسی به API
- نقش های RBAC
2. کاهش قرار گرفتن در معرض
- فراهم کند vManage در معرض اینترنت نیست
- استفاده کنید:
- فقط دسترسی به VPN / سنگر
- ایزوله هواپیما کنترل
3. رفع آسیب پذیری های مجاور (بحرانی)
✔️ ارائه اصلاحات برای:
- CVE-2026-20182
- CVE-2026-20127
👉 این کار مشترک را مسدود می کند بردارهای دسترسی اولیه برای حملات زنجیره ای استفاده می شود
4. نظارت و بخش
- فعال کردن گزارش دقیق
- مانیتور:
- فایل ها را آپلود کنید
- عملیات CLI
- الگوهای فشار دادن
5. آمادگی برای پزشکی قانونی (مهم)
قبل از هر ارتقا:
- جمع آوری کنید:
request admin-tech - فایل های گزارش را برای تجزیه و تحلیل مصالحه ذخیره کنید
6. اعتبارسنجی لبه
- تایید کنید:
- هیچ فشار پیکربندی غیرمنتظره ای وجود ندارد
- هیچ تغییر غیرمجاز در قوانین وجود ندارد
- مخصوصاً برای استقرارهای بزرگ مرتبط است (“موجودی سایت بزرگ” شما کار می کند)
8) ارزیابی ریسک (زمینه سازمانی)
| عامل | ارزیابی |
|---|---|
| وزن | بلند (7.8) |
| امکان بهره برداری | متوسط (نیاز به احراز هویت اما زنجیره ای دارد) |
| قرار گرفتن در معرض | اگر mgmt زیاد است. هواپیمای مقرون به صرفه |
| تاثیر | بحرانی (کنترل کامل SD-WAN) |
| در دسترس بودن پچ | وجود ندارد |
👉 ریسک موثر:
در محیط های دنیای واقعی زمانی که به CVE های دور زدن احراز هویت مربوط می شود بسیار مهم است
9) غذای کلیدی (برای محیط شما)
- این فقط یک LPE دیگر نیست – تبدیل به یک بردار تصاحب کامل SD-WAN می شود
- بالاترین خطر اگر:
- vManage در معرض خارجی
- CVE های قدیمی تر ثابت نیستند
- RBAC ضعیف / بهداشت اعتبار
