CVE-2026-5269
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 19 - wyżej niż 19% wszystkich znanych CVE
Streszczenie
W pakietach oprogramowania Ciena Navigator Network Control Suite (NCS) i Manage Control Plan (MCP) wykryto ukryte konta systemowe z domyślnymi, przewidywalnymi hasłami. Konta te mają bardzo ograniczone uprawnienia, ale mogą zostać wykorzystane przez atakującego w połączeniu z innymi słabościami do eskalacji uprawnień w systemie.
Ocena ryzyka
Ryzyko polega na możliwości uzyskania przez atakującego początkowego dostępu do systemu za pomocą przewidywalnego hasła, a następnie eskalacji uprawnień, co może prowadzić do przejęcia kontroli nad krytyczną infrastrukturą sieciową.
Rekomendacja
Należy natychmiast zmienić domyślne hasła dla wszystkich ukrytych kont systemowych w NCS i MCP oraz wdrożyć politykę silnych haseł. Dodatkowo zaleca się monitorowanie logów pod kątem nietypowych prób logowania na tych kontach.
Inne podatności w Ciena Navigator Network Control Suite
Zobacz wszystkie- CVE-2026-5270Krytyczne
Podatność umożliwia ominięcie uwierzytelniania w produktach Ciena Navigator NCS, MCP i Blue Planet z powodu nieprawidłowego przetwarzania ścieżek i nagłówków żądań HTTP. Nieuwierzytelniony atakujący może manipulować żądaniami, aby ominąć mechanizmy uwierzytelniania i audytu.
- CVE-2026-5267Wysokie
Ciena Navigator Network Control Suite (NCS) zawiera podatność polegającą na ujawnieniu informacji w API strumieniowania zdarzeń, które nie egzekwuje prawidłowo uwierzytelniania. Nieuwierzytelniony atakujący z dostępem sieciowym do usługi może uzyskać dostęp do strumienia zdarzeń i potencjalnie uzyskać poufne informacje.
Oryginalny opis (angielski, źródło NVD)
In Ciena's Navigator Network Control Suite (NCS) and Manage Control Plan (MCP), there are hidden system accounts used for internal software operations. Some of these accounts have default passwords that may be predictable. While these accounts have very limited permissions on their own, an attacker could combine an attack using one of these accounts with other potential weaknesses to launch a more significant attack, possibly leading to escalation of privilege on the system.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS