Модуль Secure Firewall Posture в составе Cisco Secure Client позволяет локальному пользователю с учётной записью повысить свои права на устройстве. Причина в недостаточной проверке входных данных, которые модуль принимает от других процессов на той же машине. На Windows атакующий получает запись отдельных файлов с правами SYSTEM, то есть с правами системной учётной записи Windows. На macOS и Linux те же действия дают полные права root, а затронуты все три платформы, где работает модуль.
CVE-2026-76462 в модуле Secure Firewall Posture
Повышение привилегий означает, что пользователь с обычными правами получает доступ к операциям, закрытым для его учётной записи. Уязвимость кроется в канале межпроцессного взаимодействия (IPC), механизме обмена данными между программами на одной машине. Модуль принимает сообщения через локальный сокет, то есть через программную точку обмена данными внутри системы. Проверка принятых сообщений неполна: часть полей модуль обрабатывает без должного контроля. Атакующий с учётной записью отправляет в сокет серию составленных сообщений и добивается записи файлов от имени SYSTEM или root.
Атака идёт локально. Нужен доступ к машине и действующая учётная запись, участие пользователя не требуется. Оценка CVSS у этой уязвимости 5.5 из 10, но Cisco выставила уведомлению уровень High вместо Medium. Причина в том, что на macOS и Linux запись файлов с правами root даёт полный контроль над системой, а на Windows эффект ограничен отдельными файлами.
Cisco подтвердила уязвимость в модуле Secure Firewall Posture для Windows, macOS и Linux. Других уязвимых продуктов в уведомлении нет. Исправление вышло в выпуске Cisco Secure Client 5.1.20.333. Все версии раньше 5.1.20.333 уязвимы, обновление закрывает проблему.
Номер 1.0 в шапке уведомления относится к документу, а не к исправлению. Обходных мер Cisco не приводит: закрыть уязвимость без обновления нельзя, настройки или ограничения, снижающего риск, вендор не называет.
Уведомление не уточняет, какие именно файлы доступны для записи. Этот пробел важен при оценке последствий, потому что запись в файл конфигурации и запись в произвольный каталог дают разный результат. Детали стоит искать в тексте уведомления и в записи об ошибке CSCwu48192, которую Cisco приводит в шапке.
Сведений о публичных объявлениях и о вредоносном использовании уязвимости у группы реагирования на инциденты Cisco (PSIRT) нет. Значит, случаев эксплуатации в реальных атаках не зафиксировано, а публикация уведомления говорит только о доступности технических деталей. Для этой уязвимости нужна учётная запись на машине, поэтому на практике она применима после первичного доступа к системе.
Обновить Cisco Secure Client до версии 5.1.20.333 или более поздней на всех машинах, где установлен модуль Secure Firewall Posture. Сверить с этой версией парк рабочих станций под Windows, macOS и Linux. Отслеживать обновления уведомления cisco-sa-sec-client-priv-esc-muF8eZdm: списки продуктов могут измениться.
Практическая разница между платформами важнее итоговой оценки. На Windows повышение прав ограничено записью отдельных файлов, на macOS и Linux тот же приём равносилен полным правам root. Локальный характер атаки сужает круг риска до машин, где у пользователя уже есть учётная запись. Для администратора приоритет обновления зависит от того, какие платформы стоят в парке.
Ссылки
