Albisteak

Cisco-k Secure Workload plataformako hainbat kalteberatasun kritiko zuzendu ditu

Argitalpen-data: 

Laburpen exekutiboa

Cisco-k kalteberatasun kritiko ugari detektatu ditu bere produktuetan, CVE-2026-20358, CVE-2026-20357, CVE-2026-20315 eta CVE-2026-20317 nabarmentzen, guztiak 10.0ko CVSS puntuazioarekin. Kalteberatasun hauek sarbide ez baimendua eta sistemaren manipulazioa ahalbidetzen dute, aplikazioen integritatea eta segurtasuna larriki konprometituz. Horiek esplotatzeko, erasotzaile batek kalteberatasun hauek dituzten sistemak dauden sarean sarbidea izan behar du. Ez da irtenbide temporalik eskuragarri, beraz, arriskuak arintzeko, eguneratze azkar bat behar da zuzenketak dituzten bertsioetara. Une honetan, kalteberatasun hauek aktiboki esplotatzen ari direla ez da jakinarazi, baina arriskua altua mantentzen da.

Baliabide eragindakorrak

  • Cisco Secure Workload Software (baliabide eragindakorrak: 3.10 eta aurrekoak, 4.0)
  • Cisco Secure Workload Release (konponketa bertsio lehenak: 3.10.9.1, 4.0.4.16)
  • Cisco Crosswork Data Gateway
  • Cisco Crosswork Network Controller
  • Cisco Crosswork Planning
  • Cisco Crosswork Release (konponketa bertsio lehen: 7.2.1-SP)
  • Cisco BroadWorks Application Delivery Platform (baliabide eragindakorrak: RI.2026.07 baino lehen)
  • Cisco BroadWorks Application Server (baliabide eragindakorrak: RI.2026.07 baino lehen)
  • Cisco BroadWorks Profile Server (baliabide eragindakorrak: RI.2026.07 baino lehen)
  • Cisco BroadWorks Xtended Services Platform (baliabide eragindakorrak: RI.2026.07 baino lehen)

Azterketa teknikoa

  • CVE-2026-20358: Cisco Crosswork-en kalteberatasunak identifikatu dira, sistema fitxategien arazoen kontrol externorekin lotuta, CVE-2026-20358 azpian erregistratuta eta CWE-73 bezala sailkatuta. Akats hauek sarbide ez baimendua ahalbidetu dezakete, sistemaren integritatea konprometituz. Horiek esplotatzeko, erasotzaile batek zehaztutako gaitasunak izan behar ditu, oharrean zehaztuta ez daudenak.
    • CWE: CWE-73
    • CVSS: 10.0 (Kritikoa)
    • CVSS bektorea: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:H/A:H
    • Esplotazioa: Ez da detektatu
  • CVE-2026-20357: Cisco Crosswork-en CVE-2026-20357 kalteberatasuna funtzio kritikoetan autentifikazio faltagatik da. Honek erasotzaile ez baimendu batek sistemara sarbidea eta manipulazioa ahalbidetu dezake, segurtasunerako arrisku handia suposatuz. Horiek esplotatzeko, erasotzaileak kalteberatasun hau instalatuta dagoen sarean sarbidea izan behar du.
    • CWE: CWE-306
    • CVSS: 10.0 (Kritikoa)
    • CVSS bektorea: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
    • Esplotazioa: Ez da detektatu
  • CVE-2026-20315: Cisco Secure Workload-en CVE-2026-20315 kalteberatasuna sarbide kontrol faltarekin lotuta dago. Honek erasotzaile batek baimendutako funtzio edo datuetara sarbidea ahalbidetu dezake, sistemaren segurtasuna konprometituz. Kalteberatasun hau esplotatzeko, erasotzaileak kalteberatasun hau instalatuta dagoen sarean sarbidea izan behar du.
    • CWE: CWE-284
    • CVSS: 10.0 (Kritikoa)
    • CVSS bektorea: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
    • Esplotazioa: Ez da detektatu
  • CVE-2026-20317: Cisco Secure Workload-ek autentifikazio faltarekin lotutako kalteberatasunak identifikatu ditu, CVE-2026-20317 eta CWE-287 azpian erregistratuta. Kalteberatasun hauek esplotatzen badira, softwarearen segurtasuna konprometitu dezakete. Segurtasun arriskuak arintzeko beharrezkoak diren patchak dituzten software bertsioa aplikatzea gomendatzen da.
    • CWE: CWE-287
    • CVSS: 10.0 (Kritikoa)
    • CVSS bektorea: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:H/A:H
    • Esplotazioa: Ez da detektatu
  • CVE-2026-20030: Cisco Crosswork-en kalteberatasunak identifikatu dira SQL komandoetan elementu berezien neutralizazio faltarekin lotuta (CVE-2026-20030, CWE-89). Potentzialeko inpaktua SQL injezioaren aukera barne hartzen du, datuen segurtasuna konprometitu dezakeena. Horiek esplotatzeko, kalteberatasun hauek sistemara sarbide egokia eta komando SQL gaiztoak exekutatzeko gaitasuna behar dute.
    • CWE: CWE-89
    • CVSS: 10.0 (Kritikoa)
    • CVSS bektorea: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
    • Esplotazioa: Ez da detektatu
  • CVE-2026-20359: Cisco Crosswork-en CVE-2026-20359 kalteberatasuna kredentzialen babesean falta bat da. Horren esplotazioak erasotzaileek informazio sentikorra eskuratzeko aukera emango luke. Horiek esplotatzeko, kalteberatasun hau duten aplikazioan sarbidea izan behar da, non kredentzial hauek gaizki babestuta dauden.
    • CWE: CWE-522
    • CVSS: 9.9 (Kritikoa)
    • CVSS bektorea: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
    • Esplotazioa: Ez da detektatu
  • CVE-2026-20231: Cisco Secure Workload-en kalteberatasunak identifikatu dira elementu berezien neutralizazio faltarekin lotuta (CVE-2026-20231, CWE-74). Kalteberatasun hauek erasotzaile batek baimendutako kodeak exekutatzeko aukera ematen dute, sistemaren segurtasuna konprometituz. Horiek esplotatzeko, erasoak errazten dituzten baldintza zehatzak behar dira.
    • CWE: CWE-74
    • CVSS: 9.9 (Kritikoa)
    • CVSS bektorea: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
    • Esplotazioa: Ez da detektatu
  • CVE-2026-20318: Cisco Secure Workload-en CVE-2026-20318 kalteberatasuna sarrera balidazio faltagatik da. Potentzialeko inpaktua esplotazioa barne hartzen du, sistemaren segurtasuna konprometitu dezakeena. Erasotzaile batek kalteberatasun hau aprobetxatzeko, input gaizto bat aurkeztu behar da.
    • CWE: CWE-20
    • CVSS: 9.6 (Kritikoa)
    • CVSS bektorea: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:N/I:H/A:H
    • Esplotazioa: Ez da detektatu
  • CVE-2026-20319: Cisco Secure Workload-en CVE-2026-20319 kalteberatasunak memoria kudeaketa arazoekin lotuta daude. Horien esplotazioak erasotzaile batek baimendutako kodea exekutatzeko aukera emango luke, sistemaren segurtasuna konprometituz. Kalteberatasun hauek aprobetxatzeko, erasotzaileak beharrezko sarean sarbidea izan behar du, eta horrek arrisku handia suposatzen du ingurune kritikoetan.
    • CWE: CWE-119
    • CVSS: 7.5 (Altua)
    • CVSS bektorea: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
    • Esplotazioa: Ez da detektatu
  • CVE-2026-20320: Cisco BroadWorks-en interfazeko XML analisatzaile batean kalteberatasun bat dago, urruneko erasotzaile ez autentifikatuek informazio sentikorra irakurtzea ahalbidetzen duena. Honek Cisco BroadWorks erabiltzailearen pribilegioekin sistema fitxategi konfidentzialen esposizioa ekar dezake. Kalteberatasun hau aprobetxatzeko, erasotzaileak OCI-P zerbitzura XML gaiztozko mezua bidali behar du.
    • CWE: CWE-611
    • CVSS: 7.5 (Altua)
    • CVSS bektorea: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
    • Esplotazioa: Ez da detektatu

Arintzea / Konponbidea

Deskribatutako segurtasun-arazoak arintzeko, Cisco-ren segurtasun-ohar bakoitzean adierazitako software-bertsio zuzendutakoetara eguneratzea gomendatzen zaie bezeroei. Cisco Secure Workload-en kasuan, 3.10 edo aurreko bertsioak erabiltzen badira, 3.10.9.1 bertsiora eguneratu behar da; eta 4.0 bertsioa erabiltzen bada, 4.0.4.16 bertsiora. Cisco Crosswork-en kasuan, 7.2.1 edo aurreko bertsioak erabiltzen badira, 7.2.1-SP bertsiora eguneratu behar da. Cisco BroadWorks-en kasuan, erabiltzen den bertsioa RI.2026.07 baino lehenagokoa bada, RI.2026.07 bertsiora eguneratu behar da. Ez dago kalteberatasun horiek arintzeko ordezko neurririk edo konponbide alternatiborik eskuragarri.

Erreferentzia Osagarriak