CVE-2026-20287
ŚrednieCVSS 6.5Streszczenie
W wyniku wewnętrznego przeglądu bezpieczeństwa Cisco Identity Services Engine (ISE) oraz Cisco ISE Passive Identity Connector (ISE-PIC) ujawniono liczne podatności związane z niewłaściwym zarządzaniem uprawnieniami (CWE-269). Wydano aktualizację wzmacniającą zabezpieczenia, która je naprawia.
Ocena ryzyka
Niewłaściwe zarządzanie uprawnieniami może pozwolić użytkownikom na uzyskanie większych uprawnień niż zamierzone. Może to prowadzić do nieautoryzowanych zmian w konfiguracji lub dostępu do chronionych funkcji.
Rekomendacja
Należy zainstalować wydanie wzmacniające bezpieczeństwo udostępnione przez Cisco oraz zweryfikować przydział uprawnień kont w ISE i ISE-PIC.
Inne podatności w Cisco Identity Services Engine (ISE)
Zobacz wszystkie- CVE-2026-76451Średnie
Podatność w Cisco Identity Services Engine (ISE) oraz Cisco ISE Passive Identity Connector (ISE-PIC) umożliwia uwierzytelnionemu zdalnemu atakującemu przeprowadzenie ataku typu SQL lub HQL injection. Wynika ona z niewystarczającej walidacji danych wejściowych przekazywanych do API przed użyciem ich w zapytaniach do bazy danych. Atakujący z ważnymi poświadczeniami administracyjnymi może wykonać dowolne zapytania SQL/HQL i uzyskać dostęp do danych, do których nie jest uprawniony.
- CVE-2026-76450Średnie
Podatność w Cisco Identity Services Engine (ISE) oraz Cisco ISE Passive Identity Connector (ISE-PIC) umożliwia uwierzytelnionemu zdalnemu atakującemu przeprowadzenie ataku typu SQL lub HQL injection. Wynika ona z niewystarczającej walidacji danych wejściowych przekazywanych do API przed użyciem ich w zapytaniach do bazy danych. Atakujący z ważnymi poświadczeniami administracyjnymi może wykonać dowolne zapytania SQL/HQL i uzyskać dostęp do danych, do których nie jest uprawniony.
- CVE-2026-76449Średnie
Podatność w Cisco Identity Services Engine (ISE) oraz Cisco ISE Passive Identity Connector (ISE-PIC) umożliwia uwierzytelnionemu zdalnemu atakującemu przeprowadzenie ataku typu SQL lub HQL injection. Wynika ona z niewystarczającej walidacji danych wejściowych przekazywanych do API przed użyciem ich w zapytaniach do bazy danych. Atakujący z ważnymi poświadczeniami administracyjnymi może wykonać dowolne zapytania SQL/HQL i uzyskać dostęp do danych, do których nie jest uprawniony.
- CVE-2026-76448Średnie
Podatność w Cisco Identity Services Engine (ISE) oraz Cisco ISE Passive Identity Connector (ISE-PIC) umożliwia uwierzytelnionemu zdalnemu atakującemu przeprowadzenie ataku typu SQL lub HQL injection. Wynika ona z niewystarczającej walidacji danych wejściowych przekazywanych do API przed użyciem ich w zapytaniach do bazy danych. Atakujący z ważnymi poświadczeniami administracyjnymi może wykonać dowolne zapytania SQL/HQL i uzyskać dostęp do danych, do których nie jest uprawniony.
- CVE-2026-76447Średnie
Podatność w responderze OCSP (Online Certificate Status Protocol) w Cisco ISE oraz Cisco ISE-PIC umożliwia nieuwierzytelnionemu zdalnemu atakującemu wymuszenie administracyjnego przeładowania certyfikatu i materiału klucza respondera OCSP. Wynika ona z braku uwierzytelniania w jednej z funkcji respondera OCSP. Atakujący może wysłać spreparowane żądanie, aby wywołać przeładowanie certyfikatu i klucza na żądanie.
- CVE-2026-76446Średnie
Podatność w API Cisco ISE oraz Cisco ISE-PIC umożliwia uwierzytelnionemu zdalnemu atakującemu odczytanie określonych plików w systemie operacyjnym urządzenia. Wynika ona z niewłaściwego ograniczenia odwołań do zewnętrznych encji XML (XXE). Atakujący może wysłać spreparowane żądanie, aby odczytać pliki, do których proces ma uprawnienia dostępu.
- CVE-2026-20309Średnie
Interfejs zarządzania Cisco Identity Services Engine (ISE) nieprawidłowo waliduje dane wejściowe, co umożliwia nieuwierzytelnionemu zdalnemu atakującemu przeprowadzenie ataku reflected XSS. Atakujący może nakłonić użytkownika do kliknięcia spreparowanego linku, co pozwala na wykonanie dowolnego kodu JavaScript w kontekście interfejsu lub dostęp do poufnych informacji przeglądarki.
- CVE-2026-20286Średnie
Brak walidacji uprawnień administratora po stronie serwera w interfejsie zarządzania Cisco Identity Services Engine (ISE) pozwala uwierzytelnionemu zdalnemu atakującemu na modyfikację części konfiguracji. Atakujący wysyła spreparowane żądanie HTTP, aby zmienić opisy plików na określonej stronie.
- CVE-2026-20285Średnie
Brak walidacji uprawnień administratora po stronie serwera w interfejsie zarządzania Cisco Identity Services Engine (ISE) oraz Cisco ISE Passive Identity Connector (ISE-PIC) pozwala uwierzytelnionemu zdalnemu atakującemu na modyfikację części konfiguracji. Atakujący wysyła spreparowane żądanie HTTP, aby zmienić opisy plików na określonej stronie.
- CVE-2026-20283Średnie
Niewystarczająca walidacja danych wejściowych w wywołaniach IPsec Open API w Cisco ISE pozwala uwierzytelnionemu zdalnemu atakującemu na wstrzyknięcie dowolnych poleceń do systemu operacyjnego. Wymagane są ważne poświadczenia administracyjne oraz węzeł z więcej niż jednym interfejsem sieciowym, z których jeden jest aktywnym tunelem IPsec.
Oryginalny opis (angielski, źródło NVD)
As part of Cisco's ongoing commitment to proactive security and product quality, the Cisco Identity Services Engine (ISE) and Cisco ISE Passive Identity Connector (ISE-PIC) engineering teams have conducted a comprehensive internal security review. This review resulted in a software hardening release that addresses multiple internally discovered vulnerabilities. The vulnerabilities tracked by CVE-2026-20287 are related to improper privilege managment issues that are grouped under the Common Weakness Enumeration (CWE) Pillar CWE-269.