CVE-2026-20283
ŚrednieCVSS 6.5Streszczenie
Niewystarczająca walidacja danych wejściowych w wywołaniach IPsec Open API w Cisco ISE pozwala uwierzytelnionemu zdalnemu atakującemu na wstrzyknięcie dowolnych poleceń do systemu operacyjnego. Wymagane są ważne poświadczenia administracyjne oraz węzeł z więcej niż jednym interfejsem sieciowym, z których jeden jest aktywnym tunelem IPsec.
Ocena ryzyka
Atakujący z uprawnieniami administratora może wykonać dowolne polecenia w systemie, a ze względu na łatwość eskalacji do roota Cisco przypisało ocenę High. Stanowi to poważne ryzyko przejęcia urządzenia.
Rekomendacja
Należy pilnie zainstalować poprawkę Cisco, ograniczyć dostęp do IPsec Open API oraz zweryfikować konfigurację interfejsów i tuneli IPsec.
Inne podatności w Cisco Identity Services Engine (ISE)
Zobacz wszystkie- CVE-2026-76451Średnie
Podatność w Cisco Identity Services Engine (ISE) oraz Cisco ISE Passive Identity Connector (ISE-PIC) umożliwia uwierzytelnionemu zdalnemu atakującemu przeprowadzenie ataku typu SQL lub HQL injection. Wynika ona z niewystarczającej walidacji danych wejściowych przekazywanych do API przed użyciem ich w zapytaniach do bazy danych. Atakujący z ważnymi poświadczeniami administracyjnymi może wykonać dowolne zapytania SQL/HQL i uzyskać dostęp do danych, do których nie jest uprawniony.
- CVE-2026-76450Średnie
Podatność w Cisco Identity Services Engine (ISE) oraz Cisco ISE Passive Identity Connector (ISE-PIC) umożliwia uwierzytelnionemu zdalnemu atakującemu przeprowadzenie ataku typu SQL lub HQL injection. Wynika ona z niewystarczającej walidacji danych wejściowych przekazywanych do API przed użyciem ich w zapytaniach do bazy danych. Atakujący z ważnymi poświadczeniami administracyjnymi może wykonać dowolne zapytania SQL/HQL i uzyskać dostęp do danych, do których nie jest uprawniony.
- CVE-2026-76449Średnie
Podatność w Cisco Identity Services Engine (ISE) oraz Cisco ISE Passive Identity Connector (ISE-PIC) umożliwia uwierzytelnionemu zdalnemu atakującemu przeprowadzenie ataku typu SQL lub HQL injection. Wynika ona z niewystarczającej walidacji danych wejściowych przekazywanych do API przed użyciem ich w zapytaniach do bazy danych. Atakujący z ważnymi poświadczeniami administracyjnymi może wykonać dowolne zapytania SQL/HQL i uzyskać dostęp do danych, do których nie jest uprawniony.
- CVE-2026-76448Średnie
Podatność w Cisco Identity Services Engine (ISE) oraz Cisco ISE Passive Identity Connector (ISE-PIC) umożliwia uwierzytelnionemu zdalnemu atakującemu przeprowadzenie ataku typu SQL lub HQL injection. Wynika ona z niewystarczającej walidacji danych wejściowych przekazywanych do API przed użyciem ich w zapytaniach do bazy danych. Atakujący z ważnymi poświadczeniami administracyjnymi może wykonać dowolne zapytania SQL/HQL i uzyskać dostęp do danych, do których nie jest uprawniony.
- CVE-2026-76447Średnie
Podatność w responderze OCSP (Online Certificate Status Protocol) w Cisco ISE oraz Cisco ISE-PIC umożliwia nieuwierzytelnionemu zdalnemu atakującemu wymuszenie administracyjnego przeładowania certyfikatu i materiału klucza respondera OCSP. Wynika ona z braku uwierzytelniania w jednej z funkcji respondera OCSP. Atakujący może wysłać spreparowane żądanie, aby wywołać przeładowanie certyfikatu i klucza na żądanie.
- CVE-2026-76446Średnie
Podatność w API Cisco ISE oraz Cisco ISE-PIC umożliwia uwierzytelnionemu zdalnemu atakującemu odczytanie określonych plików w systemie operacyjnym urządzenia. Wynika ona z niewłaściwego ograniczenia odwołań do zewnętrznych encji XML (XXE). Atakujący może wysłać spreparowane żądanie, aby odczytać pliki, do których proces ma uprawnienia dostępu.
- CVE-2026-20309Średnie
Interfejs zarządzania Cisco Identity Services Engine (ISE) nieprawidłowo waliduje dane wejściowe, co umożliwia nieuwierzytelnionemu zdalnemu atakującemu przeprowadzenie ataku reflected XSS. Atakujący może nakłonić użytkownika do kliknięcia spreparowanego linku, co pozwala na wykonanie dowolnego kodu JavaScript w kontekście interfejsu lub dostęp do poufnych informacji przeglądarki.
- CVE-2026-20287Średnie
W wyniku wewnętrznego przeglądu bezpieczeństwa Cisco Identity Services Engine (ISE) oraz Cisco ISE Passive Identity Connector (ISE-PIC) ujawniono liczne podatności związane z niewłaściwym zarządzaniem uprawnieniami (CWE-269). Wydano aktualizację wzmacniającą zabezpieczenia, która je naprawia.
- CVE-2026-20286Średnie
Brak walidacji uprawnień administratora po stronie serwera w interfejsie zarządzania Cisco Identity Services Engine (ISE) pozwala uwierzytelnionemu zdalnemu atakującemu na modyfikację części konfiguracji. Atakujący wysyła spreparowane żądanie HTTP, aby zmienić opisy plików na określonej stronie.
- CVE-2026-20285Średnie
Brak walidacji uprawnień administratora po stronie serwera w interfejsie zarządzania Cisco Identity Services Engine (ISE) oraz Cisco ISE Passive Identity Connector (ISE-PIC) pozwala uwierzytelnionemu zdalnemu atakującemu na modyfikację części konfiguracji. Atakujący wysyła spreparowane żądanie HTTP, aby zmienić opisy plików na określonej stronie.
Oryginalny opis (angielski, źródło NVD)
A vulnerability in the IPsec Open API endpoint of Cisco ISE could allow an authenticated, remote attacker to inject arbitrary commands on the underlying operating system. This vulnerability is due to insufficient validation of user-supplied input in IPsec Open API calls. An attacker could exploit this vulnerability by sending crafted input to the IPsec Open API endpoint on an affected device. A successful exploit could allow the attacker to execute arbitrary commands on the underlying operating system. To exploit this vulnerability, the attacker must have valid administrative credentials and the node must have more than one network interface, one of which must be configured as an active IPsec tunnel. Note: For CVE-2026-20283, Cisco has assigned a Security Impact Rating (SIR) of High rather than Medium as the score indicates. The reason is that it is easy to get to root from the achieved privilege level.