„Cisco“ ištaisė kritinę 10 balų spragą: užpuolikai galėjo pasiekti visus duomenis

„Cisco“ ištaisė kritinę 10 balų spragą: užpuolikai galėjo pasiekti visus duomenis

Įsivaizduokite, kad kažkas gali įeiti į jūsų įmonės duomenų centrą be rakto, be slaptažodžio ir be jokio pėdsako. Būtent tokią galimybę atvėrė naujai atrasta „Cisco Secure Workload“ spraga — ir ji įvertinta maksimaliu 10 balų iš 10 pavojingumo balu.

Pažeidžiamumas, žymimas CVE-2026-20223, slypėjo REST API sąsajoje, kurią naudoja „Cisco Secure Workload“ — platforma, skirta automatizuoti tinklo saugumo politikas dideliuose duomenų centruose. Problema ta, kad API visiškai netikrino, kas bando prie jos prisijungti. Pakako suformuoti specialiai paruoštą užklausą — ir užpuolikas galėjo ne tik skaityti jautrią informaciją, bet ir keisti konfigūraciją su Site Admin teisėmis, peršokdamas tarp skirtingų nuomininkų (angl. tenant) ribų.

Tai reiškia, kad vienas pažeistas klientas galėjo tapti tiltu į visus kitus, esančius toje pačioje „Secure Workload“ instaliacijoje. Nei autentifikacijos, nei vartotojo sąveikos — užtenka tinklo prieigos prie pažeidžiamo endpoint'o.

„Cisco“ patvirtino, kad spraga paveikia tiek SaaS (debesų), tiek „on-premise“ (vietines) programinės įrangos diegimo versijas, nepriklausomai nuo įrenginio konfigūracijos. Jokių laikinų apsaugos priemonių nėra — vienintelis sprendimas yra atnaujinti programinę įrangą.

Saugumo tyrinėtojus ypač suneramino tai, kad tai jau antra 10 balų spraga „Cisco“ produktuose per dvi savaites. Gegužės viduryje kompanija atskleidė CVE-2026-20182 — autentifikacijos apėjimo pažeidžiamumą „Catalyst SD-WAN Controller“ įrangoje. Ši spraga jau buvo aktyviai išnaudojama kibernetinių užpuolikų grupės UAT-8616, kuri taikėsi į SD-WAN sistemas visame pasaulyje.

Dvi maksimalaus pavojingumo spragos per tokį trumpą laiką kelia klausimų apie „Cisco“ saugumo testavimo praktikas — nors abi buvo rastos vidinio testavimo metu, o ne atskleistos iš išorės. Tai gali reikšti, kad kompanija pagaliau rimtai peržiūri savo programinės įrangos saugumo architektūrą.

Pataisymai jau išleisti šioms versijoms: rekomenduojama nedelsiant atnaujinti „Cisco Secure Workload“ į naujausią versiją. „Cisco“ teigimu, kol kas nėra įrodymų, kad CVE-2026-20223 būtų išnaudota realiose atakose — tačiau po UAT-8616 atvejo saugumo administratoriams rekomenduojama veikti greitai.