CVE-2026-20272
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 30 - wyżej niż 30% wszystkich znanych CVE
Streszczenie
W ramach wewnętrznego przeglądu bezpieczeństwa w Cisco IOS XE Software wykryto wiele podatności związanych z niewłaściwą neutralizacją specjalnych elementów (CWE-74). Wydano wzmocnione wersje oprogramowania, które naprawiają te problemy.
Ocena ryzyka
Podatności mogą umożliwić atakującemu wstrzyknięcie złośliwego kodu lub manipulację danymi, co może prowadzić do naruszenia bezpieczeństwa systemu.
Rekomendacja
Zaleca się aktualizację Cisco IOS XE Software do najnowszej wzmocnionej wersji, aby wyeliminować ryzyko.
Inne podatności w Cisco IOS XE Software
Zobacz wszystkie- CVE-2026-20267Krytyczne
W ramach wewnętrznego przeglądu bezpieczeństwa w Cisco IOS XE Software wykryto wiele podatności związanych z niewłaściwą kontrolą dostępu (CWE-284). Wydano wzmocnione wersje oprogramowania, które naprawiają te problemy.
- CVE-2023-20273WysokieAktywnie exploitowane
Podatność w interfejsie web UI oprogramowania Cisco IOS XE może pozwolić uwierzytelnionemu zdalnemu atakującemu na wstrzyknięcie poleceń z uprawnieniami roota. Wynika to z niewystarczającej walidacji danych wejściowych.
- CVE-2023-20198KrytyczneAktywnie exploitowane
Cisco aktualizuje informacje o trwającym dochodzeniu w sprawie wykorzystania funkcji interfejsu webowego w oprogramowaniu Cisco IOS XE. Atakujący wykorzystał CVE-2023-20198 do uzyskania początkowego dostępu i utworzenia lokalnego użytkownika z uprawnieniami poziomu 15, a następnie wykorzystał inną podatność (CVE-2023-20273) do podniesienia uprawnień do root i zapisania implantu w systemie plików. CVE-2023-20198 ma CVSS 10.0, a CVE-2023-20273 CVSS 7.2.
- CVE-2017-12319ŚrednieAktywnie exploitowane
Podatność w protokole Border Gateway Protocol (BGP) over Ethernet Virtual Private Network (EVPN) w oprogramowaniu Cisco IOS XE może pozwolić nieuwierzytelnionemu, zdalnemu atakującemu na wywołanie restartu urządzenia lub uszkodzenie tablicy routingu BGP, co prowadzi do odmowy usługi (DoS) lub niestabilności sieci. Podatność wynika z błędnego obliczenia pola długości adresu IP podczas przetwarzania pakietów aktualizacji BGP Inclusive Multicast Ethernet Tag Route lub BGP EVPN MAC/IP Advertisement Route. Dotyczy wszystkich wersji Cisco IOS XE przed 16.3 obsługujących konfiguracje BGP EVPN.
- CVE-2017-12229Krytyczne
Podatność w interfejsie użytkownika opartym na sieci web (web UI) Cisco IOS XE 3.1 do 16.5 pozwala nieautoryzowanemu atakującemu zdalnie obejść uwierzytelnianie do REST API. Problem wynika z niewystarczającej walidacji danych wejściowych dla REST API.
- CVE-2026-20311Średnie
Podatność w interfejsie zarządzania opartym na sieci w oprogramowaniu Cisco IOS XE pozwala uwierzytelnionemu zdalnemu atakującemu z niskimi uprawnieniami na spowodowanie warunku DoS na urządzeniu. Wynika to z niewystarczającej obsługi błędów w interfejsie zarządzania. Atakujący może wykorzystać tę podatność, uwierzytelniając się z nieprawidłowym certyfikatem, co może spowodować przeładowanie urządzenia.
- CVE-2026-20308Średnie
Podatność w interfejsie zarządzania opartym na sieci Web w oprogramowaniu Cisco IOS XE umożliwia uwierzytelnionemu zdalnemu atakującemu z niskimi uprawnieniami przeprowadzenie ataku DoS. Problem wynika z niewystarczającej walidacji danych wejściowych, a jego wykorzystanie może spowodować, że interfejs przestanie odpowiadać.
- CVE-2026-20273Wysokie
Podatność w oprogramowaniu Cisco IOS XE związana z niewłaściwą walidacją danych wejściowych (CWE-20), wykryta podczas wewnętrznego przeglądu bezpieczeństwa. Została zaadresowana w wydaniu wzmacniającym oprogramowanie.
- CVE-2026-20271Wysokie
Podatność w oprogramowaniu Cisco IOS XE związana z niewystarczającym zarządzaniem przepływem sterowania (CWE-691), wykryta podczas wewnętrznego przeglądu bezpieczeństwa. Została zaadresowana w wydaniu wzmacniającym oprogramowanie.
- CVE-2026-20270Wysokie
Podatność w oprogramowaniu Cisco IOS XE związana z nieprawidłowymi obliczeniami (CWE-682), wykryta podczas wewnętrznego przeglądu bezpieczeństwa. Została zaadresowana w wydaniu wzmacniającym oprogramowanie.
Oryginalny opis (angielski, źródło NVD)
As part of Cisco's ongoing commitment to proactive security and product quality, the Cisco IOS XE Software engineering team has conducted a comprehensive internal security review. This review resulted in software hardening releases that address multiple internally discovered vulnerabilities. The vulnerabilities tracked by CVE-2026-20272 are related to issues with improper neutralization of special elements that are grouped under the Common Weakness Enumeration (CWE) Pillar CWE-74.