Zdjęcie: © Albert Stoynov / Unsplash
Źródło: unsplash.com/photos/dyUp7WPu5q4
Cisco poinformowało o wydaniu poprawek dla 35 podatności występujących w kilku grupach produktów. Ponad 12 z nich otrzymało krytyczny poziom zagrożenia. W zależności od produktu luki mogą prowadzić do nieautoryzowanego dostępu, ujawnienia informacji, eskalacji uprawnień, ataków typu DoS albo zdalnego wykonania kodu, określanego również jako remote code execution. Producent zaznaczył, że nie ma informacji o wykorzystaniu tych problemów w rzeczywistych atakach.
Wydanie dotyczące Meraki Security Hardening usuwa wiele problemów zgrupowanych pod siedmioma identyfikatorami CVE. Najpoważniejszy z nich, CVE-2026-76464, obejmuje błędy pamięci, w tym przepełnienia bufora i zapisy poza wyznaczonym obszarem. Tego typu problemy mogą zaburzać działanie procesu albo wpływać na integralność danych, dlatego wymagają uwzględnienia podczas planowania aktualizacji.
Słownik artykułu
Krótkie objaśnienia terminów występujących w tekście. Każde hasło prowadzi do szerszej definicji i przykładów użycia.
Stan, w którym urządzenie lub usługa przestaje prawidłowo odpowiadać użytkownikom.
Podatność umożliwiająca napastnikowi uruchomienie własnych poleceń lub programu na zaatakowanym komputerze przez sieć, bez fizycznego dostępu do urządzenia.
System oznaczania i katalogowania publicznie znanych podatności w oprogramowaniu. Numer CVE jednoznacznie identyfikuje konkretny błąd bezpieczeństwa.
SSRF to podatność, która może pozwolić na nakłonienie serwera do wysłania żądania do wskazanego zasobu.
W przypadku NX-OS część problemów zgrupowano pod CVE-2026-76455 i CVE-2026-76459. Obejmują one nieprawidłową kontrolę dostępu oraz zapisy poza granicami pamięci. Dwie kolejne podatności, CVE-2026-76471 i CVE-2026-76465, mogą według opisu producenta pozwolić zdalnemu, nieuwierzytelnionemu atakującemu na wykonanie dowolnego kodu z uprawnieniami roota albo doprowadzić do odmowy usługi.
Trzy inne problemy w NX-OS, oznaczone jako CVE-2026-76485, CVE-2026-76486 i CVE-2026-76501, dotyczą wyłącznie przełączników z serii Nexus 3000 i Nexus 9000, na których włączono funkcję Next Generation OAM, znaną jako NGOAM. Oznacza to, że przy ocenie ryzyka administratorzy powinni uwzględnić zarówno model urządzenia, jak i aktywne funkcje.
Cisco opublikowało również poprawki dla kontrolera Application Policy Infrastructure Controller, czyli APIC. Trzy krytyczne podatności, CVE-2026-76498, CVE-2026-76499 i CVE-2026-76500, dotyczą między innymi błędów kontroli dostępu, wstrzyknięcia do systemu operacyjnego oraz problemów z pamięcią. W Finesse naprawiono natomiast podatność o wysokim poziomie zagrożenia, oznaczoną jako CVE-2026-20362. Jest to publicznie ujawniony problem typu SSRF.
Administratorzy korzystający z objętych komunikatem produktów powinni sprawdzić, czy dane urządzenia i komponenty znajdują się w zakresie wydanych poprawek. Szczególnej uwagi wymagają instalacje License On-Prem, systemy NX-OS oraz przełączniki Nexus 3000 i Nexus 9000 z aktywnym NGOAM. Kolejność wdrażania aktualizacji powinna uwzględniać krytyczność problemu, możliwość wykorzystania bez uwierzytelnienia i rolę urządzenia w infrastrukturze.
Szczegóły techniczne oraz informacje o wersjach naprawczych Cisco udostępnia na stronie swoich poradników bezpieczeństwa i w powiadomieniach dotyczących produktów. Brak potwierdzonych ataków w momencie publikacji komunikatu nie oznacza, że podatności można ignorować. Po ujawnieniu informacji o lukach rośnie znaczenie właściwej inwentaryzacji, ograniczania dostępu administracyjnego i terminowego stosowania poprawek.
Brak komentarzy. Bądź pierwszy!