Cisco SD-WAN spraga CVE-2026-20127: „KeyDrift“ taikėsi į šifravimo raktus

Kas yra CVE-2026-20127?

Spraga paveikia „Cisco Catalyst SD-WAN Controller“ (anksčiau „vSmart“), „Manager“ (anksčiau „vManage“) ir „Validator“ (anksčiau „vBond“). Dėl netinkamai veikiančio tarpusavio autentifikavimo nuotolinis, neautentifikuotas užpuolikas galėjo siųsti specialiai paruoštas užklausas ir apeiti autentifikaciją. Sėkmingai pasinaudojus spraga, galima gauti vidinio aukštų teisių naudotojo prieigą ir per NETCONF keisti SD-WAN tinklo konfigūraciją.

„Cisco“ pažeidžiamumui skyrė CVSS 3.1 10,0 balo. Biuletenyje nurodoma, kad nėra veikiančių spragos apėjimo priemonių, o pataisytos programinės įrangos versijos paskelbtos 2026 m. vasario 25 d. Spalio 28 d. atnaujintame biuletenyje bendrovė patvirtino ribotą išnaudojimą. Vadinasi, tai ne naujai paskelbta nulinės dienos spraga: naujausia žinia – paviešinta detalesnė istorinės veiklos analizė ir patvirtintas išnaudojimas.

Ką atskleidė „KeyDrift“ analizė?

„Cisco Talos“ aprašė UAT-11473 veiklą ir „KeyDrift“ pavadintą kelių komponentų rinkinį. „PolyFlame“ įsiterpdavo į teisėtus „vdaemon“ procesus ir galėjo veikti kaip užpakalinės durys arba tarpinis komandų valdymo mazgas. „LittleFilch“ komponentas stebėjo iššifruotus valdymo srautus, rinko kraštinių įrenginių identifikavimo ir IPsec duomenų plokštumos raktų medžiagą, o įrašus šifravo prieš juos paruošdamas galimam išsiuntimui.

„Talos“ nurodo, kad „LittleFilch“ galėjo siųsti šifruotus duomenis UDP ryšiu, tačiau tyrėjai neatgavo modulio konfigūracijos failo, kuriame turėjo būti nuotolinio gavėjo adresas. Todėl tikslus duomenų perdavimo tikslas ir tai, ar kiekvienoje tirtoje aplinkoje duomenys buvo sėkmingai išsiųsti, lieka nepatvirtinta. Užkrėsti valdikliai vis tiek laikytini rimtu incidentu, nes kompromitavimas galėjo suteikti prieigą prie SD-WAN valdymo srauto ir tinklo konfigūracijos.

Supaprastinta tyrėjų aprašytos galimybių grandinės schema. Ji nereiškia, kad kiekvienoje kompromituotoje aplinkoje raktai tikrai buvo išsiųsti.

Kokias versijas atnaujinti?

Atnaujinkite visus naudojamus SD-WAN valdymo komponentus į „Cisco“ biuletenyje nurodytą pirmą pataisytą versiją arba naujesnę palaikomą versiją. Senesnėms šakoms, kurioms priežiūra baigta, „Cisco“ nurodo migruoti į pataisytą leidimą.

20.11, 20.13 ir 20.14 šakos biuletenyje pažymėtos kaip pasiekusios programinės priežiūros pabaigą. Lentelė yra santrauka: prieš keisdami gamybinę aplinką patikrinkite tikslią platformą, jos suderinamumą, palaikymo būseną ir naujausią „Cisco“ saugumo biuletenį.

Ką turėtų padaryti administratorius?

1. Surašykite visas valdymo roles. Patikrinkite Controller, Manager ir Validator įrenginius, įskaitant rezervinius, laboratorinius ir atskirai valdomus egzempliorius. Užfiksuokite kiekvieno versiją bei build numerį.
2. Skubiai pritaikykite pataisą. Vadovaukitės savo platformos atnaujinimo ir suderinamumo instrukcijomis. Jei versija nebepalaikoma, planuokite migraciją į palaikomą pataisytą leidimą.
3. Apribokite valdymo prieigą. SD-WAN kontrolės komponentus laikykite už ugniasienės ir leiskite jungtis tik iš būtinų, patikimų valdymo adresų. „Cisco“ rekomenduoja riboti 22 ir 830 prievadų prieigą iki žinomų valdiklių ir patikimų hostų; savo aplinkoje įvertinkite poveikį ryšiams.
4. Išsaugokite tyrimo duomenis. Jei turite įtarimų dėl kompromitavimo, prieš konfigūracijos pakeitimus ar atnaujinimą pagal organizacijos reagavimo tvarką surinkite palaikomus diagnostikos ir žurnalų duomenis. „Cisco“ biuletenyje pateikia atskiras pagalbos rekomendacijas; suderinkite veiksmus su TAC ar incidentų tyrėjais.
5. Tikrinkite neįprastas paslaugas ir pakeitimus. Talos aprašė pakeistus „runit“ paleidimo scenarijus, injekciją į „vdaemon“ bei netikrą „aaamgrd“ vykdomąją tarnybą po „aaamgr“ vardu. Šiuos požymius vertinkite kartu su gamintojo indikatoriais ir savo įrenginio versija; nekeiskite sistemos failų rankiniu būdu be patvirtintos procedūros.
6. Įtarus kompromitavimą, reaguokite kaip į valdymo plokštumos incidentą. Izoliavimo, švaraus atkūrimo ir valdymo prisijungimų atnaujinimo planą derinkite su incidento tyrimu. Įvertinkite su paveiktu valdikliu susijusių raktų rotaciją pagal surinktus įrodymus ir gamintojo rekomendacijas.

Ką verta padaryti šiandien?

• Patikrinkite, ar jūsų aplinkoje veikia „Cisco Catalyst SD-WAN“ Controller, Manager arba Validator.
• Sutikrinkite visas versijas su naujausiu „Cisco“ biuleteniu ir suplanuokite pataisą ar migraciją.
• Peržiūrėkite, ar valdymo komponentų 22 ir 830 prievadai pasiekiami tik iš patikimų adresų.
• Jei pataisos vėluoja arba yra įtartinų požymių, išsaugokite diagnostiką ir inicijuokite incidento įvertinimą.