CVE-2026-55401
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
CVE-2026-55401 to podatność na dereferencję null w podsystemie równoważenia obciążenia serwerów Secure Access przed wersją 14.57. Atakujący może wysłać nieuwierzytelniony pakiet do serwera Secure Access z włączonym równoważeniem obciążenia, co powoduje awarię wewnętrznego load balancera. Po udanym ataku serwer Secure Access nadal może przyjmować połączenia i może wydać failover dla podłączonych klientów.
Ocena ryzyka
Ryzyko polega na możliwości zakłócenia działania load balancera, co może wpłynąć na dostępność usług i stabilność infrastruktury.
Rekomendacja
Zaleca się aktualizację serwerów Secure Access do wersji 14.57 lub nowszej, która zawiera poprawkę dla tej podatności.
Inne podatności w Secure Access
Zobacz wszystkie- CVE-2026-55402Średnie
CVE-2026-55402 to podatność odczytu poza zakresem w serwerach Secure Access przed wersją 14.57. Atakujący znajdujący się w pozycji 'man-in-the-middle' mogą wysyłać specjalnie spreparowane dane do serwera, powodując trwałą odmowę usługi.
- CVE-2026-55400Średnie
CVE-2026-55400 to podatność na niedomiar liczby całkowitej w serwerach Secure Access przed wersją 14.57. Atakujący z uwierzytelnioną sesją może wysłać specjalnie spreparowany ruch do serwera w nie domyślnej konfiguracji i spowodować trwałą odmowę usługi.
- CVE-2026-55398Niskie
Podatność w klientach i serwerach Secure Access przed wersją 14.55 umożliwia atakującym z dogłębną znajomością i pełną kontrolą nad protokołem tunelowania przeprowadzenie nieutrwalonego ataku DoS na serwer.
- CVE-2026-33445Średnie
Podatność w zarządzaniu pamięcią w serwerach Secure Access przed wersją 14.55. Atakujący z dogłębną znajomością i pełną kontrolą nad protokołem tunelowym mogą wywołać trwałą odmowę usługi (DoS).
- CVE-2026-33444Niskie
Podatność w zarządzaniu pamięcią w serwerach Secure Access przed wersją 14.55. Atakujący z dogłębną znajomością i pełną kontrolą nad protokołem tunelowym mogą wywołać nieutrwaloną odmowę usługi (DoS) na serwerze.
- CVE-2026-40958Niskie
Podatność CVE-2026-40958 to błąd walidacji wejścia w klientach Secure Access przed wersją 14.55. Atakujący z dogłębną znajomością i pełną kontrolą nad protokołem tunelu mogą wywołać nieutrwaloną odmowę usługi (DoS) na swoim kliencie.
- CVE-2026-40956Niskie
Podatność CVE-2026-40956 powoduje wyciek pamięci w kliencie Secure Access w wersjach starszych niż 14.55. Atakujący z dogłębną znajomością i pełną kontrolą nad protokołem tunelu może spowodować wyciek niewielkiej ilości losowej pamięci.
- CVE-2026-40955Niskie
Podatność CVE-2026-40955 to błąd niedomiaru liczby całkowitej w funkcji parsowania ruchu klientów Secure Access przed wersją 14.55. Atakujący z dogłębną znajomością i pełną kontrolą nad protokołem tunelu mogą wywołać nieutrwaloną odmowę usługi (DoS) na kliencie.
- CVE-2026-40954Niskie
Podatność CVE-2026-40954 to błąd niedomiaru liczby całkowitej w funkcji parsowania ruchu klientów Secure Access przed wersją 14.55. Atakujący z dogłębną znajomością i pełną kontrolą nad protokołem tunelu mogą wywołać nieutrwaloną odmowę usługi (DoS) wobec swojego klienta.
- CVE-2026-40953Średnie
Podatność CVE-2026-40953 to przepełnienie sterty w funkcji parsowania certyfikatów klientów Secure Access w wersjach wcześniejszych niż 14.55. Atakujący z lokalnym dostępem i uprawnieniami administratora mogą przeprowadzić atak typu odmowa usługi na klienta, nad którym mają kontrolę.
Oryginalny opis (angielski, źródło NVD)
CVE-2026-55401 is a null dereference vulnerability on the load-balancing sub-system of Secure Access servers prior to 14.57. Attackers can send an unauthenticated packet to a Secure Access server with load balancing enabled, which results in the internal load balancer crashing. After a successful attack, the Secure Access server is still able to accept connections and is still able to issue a failover to connected clients. https://www.first.org/cvss/calculator/4.0#CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:L/SC:N/SI:N/SA:L
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS