Yoan AGOSTINI

Yoan AGOSTINI

1337 G33k

Cisco Warns of Attackers Exploiting Critical Authentication Bypass in SD-WAN Manager

1 minute de lecture

Mis à jour :

Exploitation active d’une faille critique dans Cisco Catalyst SD-WAN Manager

Une vulnérabilité critique de type “zero-day” affecte actuellement Cisco Catalyst SD-WAN Manager, permettant à des attaquants distants de contourner l’authentification et d’accéder à l’API avec les privilèges d’administrateur, sans nécessiter d’identifiants.

Points clés :

  • Nature de la faille : Mauvaise gestion de l’encodage URI dans les requêtes HTTP, permettant de contourner les règles d’authentification sur le point de terminaison de l’API.
  • Impact : Un attaquant obtient un accès total au système via le rôle netadmin.
  • État de la menace : La vulnérabilité est activement exploitée par des attaquants dans des environnements réels.
  • Vulnérabilité identifiée : CVE-2026-76504 (Score CVSS : 9.8/10).

Recommandations :

  • Mise à jour immédiate : Appliquer les correctifs fournis par Cisco selon la version utilisée (ex: 20.9.10.1, 20.12.8.2, 20.15.6.1, 20.18.4.1, 26.1.2.1, 26.2.1).
  • Isolation réseau : Ne jamais exposer les interfaces d’administration directement sur Internet. Restreindre l’accès HTTPS aux hôtes de confiance ou via un sous-réseau de gestion sécurisé (jump host).
  • Détection : Auditer les journaux (/var/log/nms/containers/service-proxy/serviceproxy-access.log et /var/log/nms/vmanage-server.log) à la recherche de requêtes suspectes utilisant des variantes encodées de j_security_check.
  • Investigation : En cas de doute sur une compromission, ouvrir un dossier de support (Severity 3) auprès du TAC de Cisco après avoir généré un fichier request admin-tech.
  • Note importante : Une mise à jour ne suffit pas à expulser un attaquant déjà présent. Si une compromission est confirmée, des mesures de remédiation supplémentaires sont nécessaires.

Source

Vous pourriez aimer