CVE-2026-20271
WysokieCVSS 8.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 38 - wyżej niż 38% wszystkich znanych CVE
Streszczenie
Podatność w oprogramowaniu Cisco IOS XE związana z niewystarczającym zarządzaniem przepływem sterowania (CWE-691), wykryta podczas wewnętrznego przeglądu bezpieczeństwa. Została zaadresowana w wydaniu wzmacniającym oprogramowanie.
Ocena ryzyka
Podatność może umożliwić atakującemu manipulację przepływem sterowania, co może prowadzić do nieprzewidzianych zachowań lub awarii urządzenia.
Rekomendacja
Zainstaluj najnowsze wydanie wzmacniające Cisco IOS XE, które zawiera poprawki dla tej podatności.
Inne podatności w Cisco IOS XE Software
Zobacz wszystkie- CVE-2026-20104Średnie
Podatność w bootloaderze oprogramowania Cisco IOS XE na przełącznikach Cisco Catalyst 9200, ESS9300, IE9310, IE9320, IE3500 i IE3505 pozwala uwierzytelnionemu lokalnemu atakującemu z uprawnieniami poziomu 15 lub nieuwierzytelnionemu atakującemu z fizycznym dostępem na wykonanie dowolnego kodu w czasie rozruchu i złamanie łańcucha zaufania. Wynika to z niewystarczającej walidacji oprogramowania podczas rozruchu, co umożliwia manipulację ładowanymi binariami i obejście kontroli integralności.
- CVE-2026-20272Krytyczne
W ramach wewnętrznego przeglądu bezpieczeństwa w Cisco IOS XE Software wykryto wiele podatności związanych z niewłaściwą neutralizacją specjalnych elementów (CWE-74). Wydano wzmocnione wersje oprogramowania, które naprawiają te problemy.
- CVE-2026-20267Krytyczne
Podatność w oprogramowaniu Cisco IOS XE Software, wykryta podczas wewnętrznego przeglądu bezpieczeństwa, dotyczy problemów z nieprawidłową kontrolą dostępu sklasyfikowanych w CWE-284. W wyniku przeglądu wydano wzmocnione wersje oprogramowania.
- CVE-2023-20273WysokieAktywnie exploitowane
Podatność w interfejsie web UI oprogramowania Cisco IOS XE może pozwolić uwierzytelnionemu zdalnemu atakującemu na wstrzyknięcie poleceń z uprawnieniami roota. Wynika to z niewystarczającej walidacji danych wejściowych.
- CVE-2023-20198KrytyczneAktywnie exploitowane
Cisco aktualizuje informacje o trwającym dochodzeniu w sprawie wykorzystania funkcji interfejsu webowego w oprogramowaniu Cisco IOS XE. Atakujący wykorzystał CVE-2023-20198 do uzyskania początkowego dostępu i utworzenia lokalnego użytkownika z uprawnieniami poziomu 15, a następnie wykorzystał inną podatność (CVE-2023-20273) do podniesienia uprawnień do root i zapisania implantu w systemie plików. CVE-2023-20198 ma CVSS 10.0, a CVE-2023-20273 CVSS 7.2.
- CVE-2017-12319ŚrednieAktywnie exploitowane
Podatność w protokole Border Gateway Protocol (BGP) over Ethernet Virtual Private Network (EVPN) w oprogramowaniu Cisco IOS XE może pozwolić nieuwierzytelnionemu, zdalnemu atakującemu na wywołanie restartu urządzenia lub uszkodzenie tablicy routingu BGP, co prowadzi do odmowy usługi (DoS) lub niestabilności sieci. Podatność wynika z błędnego obliczenia pola długości adresu IP podczas przetwarzania pakietów aktualizacji BGP Inclusive Multicast Ethernet Tag Route lub BGP EVPN MAC/IP Advertisement Route. Dotyczy wszystkich wersji Cisco IOS XE przed 16.3 obsługujących konfiguracje BGP EVPN.
- CVE-2017-12229Krytyczne
Podatność w interfejsie użytkownika opartym na sieci web (web UI) Cisco IOS XE 3.1 do 16.5 pozwala nieautoryzowanemu atakującemu zdalnie obejść uwierzytelnianie do REST API. Problem wynika z niewystarczającej walidacji danych wejściowych dla REST API.
- CVE-2026-20311Średnie
Podatność w interfejsie zarządzania opartym na sieci w oprogramowaniu Cisco IOS XE pozwala uwierzytelnionemu zdalnemu atakującemu z niskimi uprawnieniami na spowodowanie warunku DoS na urządzeniu. Wynika to z niewystarczającej obsługi błędów w interfejsie zarządzania. Atakujący może wykorzystać tę podatność, uwierzytelniając się z nieprawidłowym certyfikatem, co może spowodować przeładowanie urządzenia.
- CVE-2026-20308Średnie
Podatność w interfejsie zarządzania opartym na sieci Web w oprogramowaniu Cisco IOS XE umożliwia uwierzytelnionemu zdalnemu atakującemu z niskimi uprawnieniami przeprowadzenie ataku DoS. Problem wynika z niewystarczającej walidacji danych wejściowych, a jego wykorzystanie może spowodować, że interfejs przestanie odpowiadać.
- CVE-2026-20273Wysokie
Podatność w oprogramowaniu Cisco IOS XE związana z niewłaściwą walidacją danych wejściowych (CWE-20), wykryta podczas wewnętrznego przeglądu bezpieczeństwa. Została zaadresowana w wydaniu wzmacniającym oprogramowanie.
Oryginalny opis (angielski, źródło NVD)
As part of Cisco's ongoing commitment to proactive security and product quality, the Cisco IOS XE Software engineering team has conducted a comprehensive internal security review. This review resulted in software hardening releases that address multiple internally discovered vulnerabilities. The vulnerabilities tracked by CVE-2026-20271 are related to insufficient control flow management issues that are grouped under the Common Weakness Enumeration (CWE) Pillar CWE-691.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS