Cisco проверяет, какие её продукты затронуты уязвимостями в Node.js - среде выполнения JavaScript, которую используют многие сетевые и облачные продукты вендора. Проверка продолжается, и большинство приоритетных линеек пока остаются под проверкой, включая Catalyst SD-WAN Manager, Identity Services Engine, IOS и NX-OS. Уязвимость подтверждена для License Smart Software Manager On-Prem, и для него уже есть исправленный выпуск. Cisco также знает о существовании демонстрационного эксплойта, но не располагает сведениями о его применении против своих продуктов.
Статус проверки продуктов Cisco и состав уязвимостей Node.js
Числовой оценки CVSS в уведомлении нет: Cisco присвоила всем перечисленным уязвимостям уровень High по своей шкале оценки влияния на безопасность (Security Impact Rating, SIR). Документ имеет версию 1.1 и промежуточный статус Interim. Поэтому списки продуктов ещё будут меняться, и окончательные выводы по большинству линеек делать рано.
Под проверкой остаются приоритетные линейки Cisco: Catalyst SD-WAN Manager, Identity Services Engine, IOS Software, IOS XE, IOS XR, NX-OS, Secure Firewall ASA, Secure Firewall Management Center и Secure Firewall Threat Defense. Проверка идёт и по другим продуктам. Среди них AppDynamics, Catalyst Center, HyperFlex, UCS Software, Webex и Umbrella. Отдельно в списке проверяемых указаны CLI Analyzer, Webex Connect и Secure Endpoint Private Cloud Appliance.
Для License Smart Software Manager On-Prem указан идентификатор ошибки CSCwx49003 и исправленный выпуск 10-202610. Администраторам таких установок нужно перейти на этот выпуск. Обходных мер Cisco не предлагает: в уведомлении прямо сказано, что их нет. Остаются обновление и отслеживание документа.
Проверенными и не уязвимыми значатся Business Dashboard, Mesh Policy Engine и Nexus Dashboard. Это завершённый результат проверки, а не отсутствие данных. Продукт, не попавший ни в один список, по предварительным данным не затронут. Пока документ в промежуточном статусе, такой вывод остаётся предварительным.
Повреждение памяти в декодере Brotli
Одна из проблем - переполнение буфера в декодере Brotli, части библиотеки сжатия (Brotli - алгоритм сжатия данных). Декодер распаковывает сжатый поток обратно в исходные данные. Специально сформированный поток вызывает запись за границами выделенного буфера, то есть портит соседние области памяти. Атакующий может повредить состояние декодера, получить фрагменты чувствительных данных, вызвать отказ в обслуживании или выполнить произвольный код. Атака идёт по сети и не требует аутентификации: достаточно, чтобы уязвимый декодер обработал поток от атакующего.
Речь о CVE-2026-111497. Ошибка затрагивает Google Brotli версий с 1.0.3 по 1.2.0. Исправленные выпуски - 1.0.10, 1.1.1 и 1.2.1. Если библиотека используется отдельно или входит в состав приложения, нужен один из них.
Обрезка имён и обход проверки сертификата
Вторая проблема - обрезка имени хоста по нулевому байту при разрешении имён (DNS - система доменных имён). Имя с символом NUL молча обрезается, и запрос уходит на другой, более короткий адрес. Приложение, которое сначала сверяет имя со списком разрешённых доменов, а затем разрешает его, получает записи чужого домена. Проверка при этом ошибки не выдаёт. Это CVE-2026-105482, неполное исправление прошлой ошибки: та закрывала лишь часть функций.
Ещё несколько проблем касаются проверки имени хоста при установке TLS-соединения (TLS - протокол шифрования транспортного уровня). Сертификат без IP-адреса в списке альтернативных имён (SAN) принимается для соединения с IPv4-адресом, записанным не-ASCII цифрами. Например, полноширинные цифры выглядят как обычные, но кодируются иначе. Проверка не считает такое имя IP-адресом и сверяет его с доменными именами из сертификата.
Другой случай - адрес с ведущим нулём. Такой адрес нормализуется по одним правилам, а соединение идёт по другим. На части платформ, например в macOS, октет с ведущим нулём читается как десятичный, а не восьмеричный. В результате сервер подтверждается сертификатом, выданным для другого IP-адреса, и атакующий перехватывает трафик.
Требования к атакующему Cisco не описывает и отсылает к бюллетеням по конкретным продуктам. Затронуты поддерживаемые ветки Node.js 22.x, 24.x и 26.x. По записям CVE, уязвимы версии до 22.23.3, 24.22.0 и 26.12.0 включительно. Обход через не-ASCII цифры проявляется только в ветках 24.x и 26.x.
Исправления Node.js выпустил 21 октября 2026 года, однако номера исправленных выпусков в переданных данных не указаны. Их нужно смотреть в уведомлении Node.js о безопасности, на которое ссылается Cisco.
Демонстрационный эксплойт для этих уязвимостей существует, о чём сообщает Cisco PSIRT - группа реагирования на инциденты безопасности продуктов Cisco. Применения против продуктов Cisco вендор не зафиксировал. Публичное раскрытие кода не означает атак в реальных сетях.
Практический риск зависит от того, встроен ли Node.js в продукт и обрабатывает ли он внешние данные: сжатые потоки, имена хостов, сертификаты. Для затронутого продукта исправление сводится к переходу на выпуск 10-202610. Для остальных линеек вывод появится в следующих версиях уведомления.
Ссылки
