Questo documento descrive i passaggi per identificare e affrontare le vulnerabilità critiche della sicurezza in SD-WAN in base agli advisory PSIRT del 4 giugno 2026.
Cisco raccomanda la conoscenza dei seguenti argomenti:
Le informazioni discusse in questo documento fanno riferimento a dispositivi usati in uno specifico ambiente di emulazione. Su tutti i dispositivi menzionati nel documento la configurazione è stata ripristinata ai valori predefiniti. Se la rete è operativa, valutare attentamente eventuali conseguenze derivanti dall'uso dei comandi.
Per informazioni dettagliate e gli ultimi aggiornamenti, consultare la pagina ufficiale di consulenza PSIRT.
Queste avvertenze sono disponibili ai seguenti link:
I seguenti problemi sono risolti dai consigli PSIRT:
Questo advisory descrive una vulnerabilità di escalation dei privilegi in SD-WAN Manager che richiede privilegi di netadmin da sfruttare.
Secondo l'advisory, i percorsi noti per ottenere tali privilegi da un utente remoto non autenticato sono lo sfruttamento di CVE-2026-20182 (cisco-sa-sdwan-rpa2-v69WY2SW) o CVE-2026-20127 (cisco-sa-sdwan-rpa-EHchtZk).
Se i componenti di controllo sono stati aggiornati a una versione fissa per entrambi gli admin-tech e Cisco non ha identificato alcun potenziale indicatore di compromissione (IoC) nei file admin-tech forniti per gli eventi precedenti, i percorsi di utilizzo non autenticati noti per questa nuova vulnerabilità vengono mitigati su tali dispositivi specifici, in base ai file esaminati.
Ciò non elimina l'esposizione quando un utente non autorizzato possiede credenziali netadmin valide. Cisco non ha ancora rilasciato una correzione software per questa vulnerabilità e non sono disponibili soluzioni alternative; seguiranno ulteriori orientamenti non appena saranno disponibili.
Azione richiesta: apri una richiesta Cisco TAC per risolvere questo avviso di sicurezza.
Il TAC è disponibile per:
Obbligatorio: Raccogliere i file admin-tech da tutti i componenti di controllo prima di qualsiasi aggiornamento o modifica della configurazione, in modo da preservare i dati diagnostici e gli eventuali indicatori di compromissione (IoC). Questi file vengono utilizzati da TAC nel passaggio 3 per analizzare l'ambiente.
Raccolta: per la generazione admin-tech, selezionare le opzioni Log and Tech. Core non è richiesto.
Raccolta di informazioni su Admin-Tech in un ambiente SD-WAN e caricamento nella richiesta TAC
Nota: TAC analizza questi file per valutare l'ambiente del cliente alla ricerca di indicatori di compromesso relativi a questo avviso. L'analisi di questo avviso si concentra su una voce specifica del registro che non fa distinzione tra uso legittimo e uso dannoso; è richiesta la revisione manuale tramite TAC.
Per i clienti che non possono condividere file admin-tech, è disponibile una procedura di verifica manuale. Questa procedura fornisce un indicatore preliminare che deve essere documentato e condiviso con il TAC.
Per la procedura dettagliata, vedere la sezione Fasi della verifica manuale alla fine di questo documento. Documentare tutti i risultati e fornirli a TAC nella richiesta di assistenza.
Dopo aver raccolto i dati tecnici per l'amministratore nel passaggio 1, aprire una richiesta di assistenza in Cisco TAC e caricare i file tecnici per l'amministratore raccolti. TAC analizza gli admin-tech per individuare gli indicatori di compromesso associati a questo avviso.
Azioni richieste:
cisco-sa-sdwan-privesc-4uxFrdzx nel titolo per avviare l'analisi.
Nota: Cisco non ha rilasciato una correzione software per questa vulnerabilità e non sono disponibili soluzioni alternative. L'analisi TAC nel passaggio 3 aiuta a determinare se vi sono indicatori di compromissione nei file admin-tech forniti. Seguiranno ulteriori indicazioni man mano che saranno disponibili dal reparto di ingegneria.
TAC esegue un'analisi preliminare dei file admin-tech caricati nella fase 2 e li valuta per rilevare eventuali indicatori di compromesso associati a questo avviso.
Per questo advisory, l'analisi è incentrata su una voce di log specifica in /var/log/scripts.log su ciascun Manager (vManage). Poiché il comando sottostante è legittimo e il registro non distingue tra utilizzo legittimo e dannoso, tutte le voci corrispondenti richiedono una revisione manuale da parte di TAC rispetto alla normale postura operativa del cliente prima di essere trattate come un indicatore confermato.
Possibili risultati dell'analisi TAC:
Nota: In base all'advisory, lo sfruttamento di questa vulnerabilità richiede privilegi netadmin, che un utente non autenticato può ottenere solo attraverso credenziali valide o lo sfruttamento di CVE-2026-20182 o CVE-2026-20127. Se i componenti di controllo sono stati aggiornati a una versione fissa per entrambi gli advisory e non sono stati identificati indicatori di compromissione per gli eventi precedenti, i percorsi di sfruttamento non autenticati noti per questa nuova vulnerabilità sono mitigati su tali dispositivi specifici, in base ai file esaminati.
Se TAC identifica indicatori di compromissione associati a questo avviso nell'ambiente in uso, TAC contatta l'utente con indicazioni specifiche. Completare tutte le istruzioni fornite da TAC.
Se non vengono identificati indicatori di compromissione per questo avviso, non è al momento necessaria alcuna ulteriore azione specifica per questo avviso, sulla base dei file admin-tech esaminati.
Importante: Cisco non ha rilasciato una correzione software per questo avviso e non sono disponibili soluzioni alternative. Poiché lo sfruttamento di questa vulnerabilità richiede privilegi di netadmin ottenuti tramite CVE-2026-20182 o CVE-2026-20127, i clienti devono garantire la correzione di questi avvisi precedenti è completa. Fare riferimento ai documenti corrispondenti per il flusso di monitoraggio e aggiornamento stabilito:
Al termine di un'azione correttiva riuscita e sulla base dei requisiti specifici di sicurezza di ciascun cliente, i clienti possono valutare e intraprendere le seguenti attività igieniche. Queste attività si applicano indipendentemente dall'opzione di correzione selezionata. Sono gestiti dal cliente; Cisco non li dirige né li esegue per conto del cliente.
Cisco sconsiglia di specificare un percorso di ripristino; la scelta di un'opzione di risanamento spetta al cliente. Come nota informativa per i clienti che valutano il proprio ambiente: se il cliente sospetta la compromissione di un dispositivo periferico, un reset di fabbrica e il re-onboarding del dispositivo o dei dispositivi periferici interessati è un'azione gestita dal cliente che il cliente potrebbe voler prendere in considerazione quando effettua la selezione. La decisione di seguire questo approccio e la scelta dell'opzione da selezionare spetta al cliente.
Il comando corretto per eseguire un ripristino sicuro in fabbrica è:
factory-reset all secure 3-pass
Importante: Al momento della pubblicazione di questo documento, Cisco non ha rilasciato una correzione software per CVE-2026-20245. In base all'advisory, Cisco prevede di risolvere questa vulnerabilità in Cisco Catalyst SD-WAN Manager in una versione futura. Non sono disponibili soluzioni alternative. Questa sezione verrà aggiornata quando sarà disponibile software fisso.
Poiché lo sfruttamento di questa vulnerabilità richiede privilegi di netadmin che un utente non autenticato può ottenere solo attraverso CVE-2026-20182 o CVE-2026-20127, i clienti sono incoraggiati a garantire che i loro componenti di controllo eseguano una versione fissa per tali avvisi precedenti. Le versioni fisse di questi avvisi sono documentate nel SD-WAN Security Advisory del 14 maggio 2026 e nel documento TechZone corrispondente:
Riferimenti importanti:
Nota: La raccolta Admin-tech è il metodo preferito. Utilizzare la procedura di verifica manuale descritta di seguito solo se non è possibile raccogliere e condividere i file admin-tech con TAC. Il risultato di questa operazione manuale è preliminare; documenta i risultati e li condivide con TAC, che effettua la valutazione ufficiale.
Nota: Per questo avviso, la verifica manuale consiste in un unico controllo mirato del registro. La voce del log cercata è generata da un comando legittimo e il solo log non distingue tra uso legittimo e dannoso. Prima di essere considerati un indicatore potenziale, i dati corrispondenti devono essere esaminati in base alla normale postura operativa del cliente. Se una voce corrispondente non può essere riconciliata con le normali operazioni, documentare il risultato e condividerlo con TAC.
scripts.log su ogni manager (vManage) per voci di caricamento dell'elenco tenantIn base all'advisory PSIRT, i clienti sono incoraggiati a controllare il file scripts.log, che si trova in /var/log/, per le voci simili al seguente esempio:
Apr 15 09:44:57 vmanage vScript: Tenant list upload per vsmart serial number: /usr/bin/vconfd_script_upload_tenant_list.sh -cli path /home/admin/malicious.csv vpn 0
Passaggio 1: Accedere a vshell su ciascun Manager (vManage) ed eseguire una ricerca nel file di log
Dalla CLI di vManage, accedere alla shell ed eseguire:
vs
zgrep "vconfd_script_upload_tenant_list.sh" /var/log/scripts.log*
Ripetere il controllo su ogni vManage della distribuzione (inclusi tutti i membri del cluster e gli eventuali vManage associati a DR).
Passaggio 2: Interpreta risultati e documento per TAC
Se NON vengono restituite voci corrispondenti:
Se vengono restituite voci corrispondenti:
percorso della riga successiva.Q: Qual è il primo passo per affrontare questo advisory della sicurezza?
A: Raccogliere i file admin-tech da tutti i componenti di controllo (vSmart, vManage, vBond) prima di qualsiasi aggiornamento o modifica della configurazione per preservare i dati di diagnostica e qualsiasi potenziale indicatore di compromissione. Quindi, aprire una richiesta Cisco TAC e caricare gli admin-tech in modo che TAC possa analizzarli.
Q: Cisco ha rilasciato una correzione software per questa vulnerabilità?
A: Non al momento della pubblicazione del presente documento. In base all'advisory, Cisco prevede di risolvere questa vulnerabilità in Cisco Catalyst SD-WAN Manager in una versione futura. Non sono disponibili soluzioni alternative. Questo documento verrà aggiornato quando sarà disponibile una versione fissa.
Q: Se non è disponibile alcuna correzione, perché Cisco consiglia un'azione adesso?
A: Per sfruttare questa vulnerabilità sono necessari i privilegi netadmin. In base all'advisory, un utente non autenticato può ottenere tali privilegi solo attraverso credenziali valide o attraverso lo sfruttamento di CVE-2026-20182 o CVE-2026-20127. Garantendo che i componenti di controllo siano aggiornati alle versioni fisse per tali advisory precedenti indirizzi i percorsi non autenticati noti per ottenere i privilegi necessari per sfruttare questa vulnerabilità. L'analisi admin-tech nella Fase 3 aiuta a determinare se vi sono indicatori di compromissione nei file esaminati.
Q: È necessario raccogliere gli admin-tech da tutti i componenti di controllo?
A: Sì. TAC richiede file admin-tech da tutti i controller (vSmart, raccolti uno alla volta), da tutti i manager (vManage) e da tutti i validatori (vBond) per eseguire l'analisi.
Q: In che modo TAC determina se il sistema dispone di indicatori di compromesso associati a questo avviso?
A: TAC esamina i file admin-tech e cerca la voce di registro specifica descritta nell'advisory di PSIRT all'indirizzo /var/log/scripts.log su ciascun Manager. Il comando sottostante è legittimo; qualsiasi voce corrispondente deve essere esaminata rispetto alla normale postura operativa prima di essere trattata come un indicatore potenziale. TAC esegue questa revisione.
Q: Cosa succede se vengono individuati indicatori di compromesso?
A: TAC contatta l'utente con indicazioni specifiche. Poiché non è attualmente disponibile alcuna correzione software per questo advisory, l'aggiornamento da solo non risolve un compromesso confermato. Le linee guida del TAC seguono il flusso documentato negli articoli relativi alla TechZone per i pareri del maggio 2026 e del febbraio 2026.
Q: Questo avviso riguarda i router perimetrali (Cisco IOS XE)?
A: Questo avviso ha effetto su Cisco Catalyst SD-WAN Manager. Secondo l'advisory, Cisco ha osservato alcuni casi limitati in cui lo sfruttamento di questa vulnerabilità ha portato a una modifica della configurazione trasferita ai dispositivi periferici; i clienti sono invitati a verificare la configurazione dei loro dispositivi edge.
Q: Quali tipi di distribuzione sono interessati?
A: In base all'advisory, questa vulnerabilità influisce su tutti i tipi di installazione di Cisco Catalyst SD-WAN Manager indipendentemente dalla configurazione del dispositivo, inclusa l'installazione locale, Cisco SD-WAN Cloud-Pro, Cisco SD-WAN Cloud (Cisco Managed) e Cisco SD-WAN per enti pubblici (FedRAMP).
Q: Ho già effettuato l'aggiornamento per i consigli di maggio 2026 e febbraio 2026 e non sono stati identificati indicatori di compromesso per tali eventi. Sono esposto a questa nuova vulnerabilità?
A: Se i componenti di controllo eseguono una versione fissa sia per CVE-2026-20182 che per CVE-2026-20127 e non sono stati identificati indicatori di compromissione per gli eventi precedenti nei file admin-tech esaminati, i percorsi di sfruttamento noti non autenticati per questa nuova vulnerabilità vengono mitigati su tali dispositivi specifici, in base ai file esaminati. Ciò non elimina l'esposizione quando un utente malintenzionato possiede credenziali netadmin valide.
Q: È possibile eseguire personalmente la verifica anziché attendere il TAC?
A: I clienti che non possono condividere gli amministratori possono eseguire la procedura di verifica manuale descritta nell'Appendice. Il risultato è preliminare; documenta i risultati e li condivide con TAC, che effettua la valutazione ufficiale.
Q: Quali sono le best practice generali per rafforzare la mia sovrapposizione SD-WAN?
A: Per le best practice, consultare la guida alla protezione avanzata di Cisco Catalyst SD-WAN.
Q: Cisco TAC fornisce servizi di analisi o investigazione forense per risolvere questa vulnerabilità?
A: Cisco TAC può assistere i clienti revisionando i file admin-tech per gli indicatori di compromesso documentati nell'advisory PSIRT. Cisco TAC non esegue analisi forensi approfondite o indagini sugli incidenti. Per un lavoro legale completo o per indagini dettagliate sulla sicurezza, i clienti sono incoraggiati a rivolgersi alla loro società di terze parti preferita per la gestione degli incidenti.
| Revisione | Data di pubblicazione | Commenti |
|---|---|---|
2.0 |
05-Jun-2026
|
Aggiornamento della documentazione |
1.0 |
05-Jun-2026
|
Versione iniziale |