Сброс пароля администратора и обход проверки криптографической подписи в Cisco License On-Prem не требуют входа в систему

Cisco License On-Prem, ранее выпускавшийся под именем Cisco Smart Software Manager On-Prem (SSM On-Prem), получил исправления для восьми уязвимостей в веб-интерфейсе управления и программных интерфейсах приложений (API). Часть проблем не требует учётных данных вовсе. Удалённый злоумышленник сбрасывает пароль произвольной записи, включая административную, записывает файлы на сервер и вызывает отказ в обслуживании. Тем, кто уже вошёл в систему с правами администратора, доступно выполнение команд в операционной системе с правами суперпользователя. Оценки по шкале CVSS доходят до максимальных 10 баллов из 10. Две памятки Cisco опубликовала 7 октября 2026 года. Следов реальной эксплуатации нет, о найденных ошибках вендору сообщили внутренние инженеры и сторонние исследователи. Проблемы затрагивают конфиденциальность, целостность и доступность продукта.

Детали уязвимостей

Самая заметная ошибка сидит в процедуре восстановления пароля (CVE-2026-20328). Проверки на этом шаге слишком слабые. Удалённый злоумышленник отправляет специально составленный запрос в веб-интерфейс управления и меняет пароль произвольной учётной записи, в том числе административной. Затем он входит в приложение от имени нужного пользователя и получает его права. Предварительная аутентификация для такой атаки не нужна. Оценка 9.1 ставит уязвимость в разряд наиболее серьёзных. Этот сценарий превращает чужой сервер лицензирования в подконтрольную систему.

Второй вектор связан с интерфейсом системы лицензирования. Управляющий API не проверяет подлинность обращений и не фильтрует входные данные (CVE-2026-76454, 9.1 по CVSS). Одного удалённого запроса достаточно, чтобы записать файлы в файловую систему или вызвать отказ в обслуживании. Учётные данные для этого не требуются. Обе описанные уязвимости Cisco помечает как критичные по своей внутренней шкале. Они затрагивают разные свойства системы: одна бьёт по доступу и целостности данных, вторая - по целостности и доступности приложения.

Две другие ошибки требуют действующих учётных данных администратора, поэтому оценки скромнее - 4.9. Внедрение команд в веб-интерфейсе даёт выполнение произвольных команд в операционной системе с правами суперпользователя (root). Единственное дополнительное преимущество такого сценария - возможность выключить сервер, чего штатный администратор делать не может. Внедрение SQL-кода открывает чтение внутренней базы данных, обычно закрытой даже для администраторов. Здесь страдает конфиденциальность, а в случае с внедрением команд - доступность системы.

Вторая памятка описывает итоги внутренней проверки кода. Инженеры сгруппировали найденное по классам слабостей и присвоили каждой группе один идентификатор CVE. В список попали отсутствие аутентификации для критичных функций (оценка 9.8) и слабая защита учётных данных (9.1). Максимальные 10 баллов получила неправильная проверка криптографической подписи (CVE-2026-76482). Внедрение кода оценили в 8.8. Обход проверки подписи означает, что вредоносные данные можно выдать за доверенные. Оценка внутри каждой группы отражает самую тяжёлую из ошибок этого класса. Cisco указывает, что эти проблемы нашли при внутреннем тестировании, к которому привлекли передовые модели искусственного интеллекта. Классы уязвимостей не зависят друг от друга: эксплуатация одной не требует эксплуатации другой, а один выпуск может быть уязвим не ко всем сразу.

Cisco License On-Prem управляет лицензиями Cisco и учётными записями организаций на серверах заказчика, а не в облаке вендора. Такие системы обычно держат во внутренней сети, и это сдерживает атаки извне. Однако веб-интерфейс остаётся доступен сотрудникам, а часть компаний выставляет его в интернет ради удобства. Проверки сброса пароля и подписи бьют именно по такому сценарию: злоумышленнику достаточно дотянуться до интерфейса, учётные данные не нужны. Недоступность или подмена данных в системе лицензирования сказывается на всей инфраструктуре, которая от неё зависит. Cisco советует не открывать интерфейс управления наружу. Если без этого не обойтись, доступ ограничивают отдельным сегментом сети и списками разрешённых адресов.

Обновления распределены по ветвям. Выпуск 10-202609 уязвимостей не содержит, и сборки 10-202608 и более ранние переводят именно на него. Версии 9-202601 и старше придётся переносить в исправленную ветку. Обходных путей Cisco не предлагает: закрыть уязвимости настройками нельзя, помогает только обновление. Пользователей Cisco Smart Licensing Utility перечисленные ошибки не касаются. Вендор проверяет только сведения о затронутых и исправленных выпусках, которые приведены в памятках. Часть проблем обнаружили Габриэле Парис из Центра кибербезопасности НАТО и Чунг Нгуен из компании CyStack.

Внутренний аудит кода с привлечением моделей машинного обучения становится обычной практикой крупных поставщиков. Он позволяет вычищать целые классы ошибок до того, как за них возьмутся сторонние исследователи. Администраторам стоит держать интерфейс управления вне внешней сети, а внутренний контур разделить на сегменты и ограничить доступ к нему по спискам разрешённых адресов.

Детали уязвимостей

Ссылки