CVE-2026-20262

Суть уязвимости

CVE-2026-20262 представляет собой критическую уязвимость типа Directory Traversal (обход пути) в интерфейсе управления Cisco Catalyst SD-WAN Manager (ранее vManage). Ошибка возникает из-за недостаточной санитизации входных данных, передаваемых в API или веб-интерфейс. Аутентифицированный злоумышленник с правами доступа к системе может сформировать специальный запрос, содержащий последовательности обхода каталогов (например, ../). Это позволяет создавать новые файлы или перезаписывать существующие системные файлы с правами суперпользователя (root), что ведет к полной компрометации устройства, внедрению вредоносного кода или отказу в обслуживании (DoS).

Как исправить

Для полного устранения уязвимости необходимо обновить программное обеспечение Cisco Catalyst SD-WAN Manager до исправленной версии. Cisco выпускает патчи в рамках соответствующих веток программного обеспечения.

1. Определите текущую версию системы:

show software status

1. Загрузите исправленный образ (Software Image) с официального сайта Cisco Software Central для вашей ветки (например, 20.6.x, 20.9.x, 20.12.x или новее, где зафиксировано исправление).

2. Установите обновление на SD-WAN Manager:

request software install <image_name>

1. После завершения установки активируйте новую версию:

request software activate <version>

1. Подтвердите успешную установку и отсутствие ошибок в работе сервисов:

show software connectivity

Временные меры

Если немедленное обновление невозможно, необходимо применить следующие меры для снижения риска эксплуатации:

1. Ограничьте доступ к интерфейсу управления (GUI и API) SD-WAN Manager, используя списки контроля доступа (ACL), разрешив подключения только с доверенных IP-адресов администраторов:

policy access-list <name> sequence 10 action accept source-ip <admin_subnet>

1. Настройте детальный аудит действий пользователей и мониторинг системных логов на предмет подозрительных запросов, содержащих символы обхода путей:

show log system | include ".."

1. Используйте принцип наименьших привилегий (PoLP), отозвав права на запись и изменение настроек у всех пользователей, чьи должностные обязанности не требуют внесения изменений в файловую систему.

2. Разверните или обновите сигнатуры на внешних средствах защиты (WAF/IPS) для блокировки HTTP-запросов, содержащих паттерны Directory Traversal в URL или теле запроса.