CVE-2026-20182

Nome do Software Vulnerável e Versões Afetadas Cisco Catalyst SD-WAN Controller (versões afetadas não especificadas) Cisco Catalyst SD-WAN Manager (versões afetadas não especificadas) Cisco Catalyst SD-WAN Validator (versões afetadas não especificadas)

Descrição Uma falha no mecanismo de autenticação de emparelhamento do handshake de conexão de controle permite que um invasor remoto não autenticado ignore a autenticação e obtenha privilégios administrativos. O problema existe porque o sistema não valida adequadamente os certificados e tokens recebidos quando opções específicas de cabeçalho são alteradas, especificamente no serviço vdaemon. Um invasor pode imitar um controlador de rede legítimo estabelecendo uma conexão DTLS com um certificado autoassinado e enviando solicitações manipuladas para o endpoint de autenticação de emparelhamento.

Uma exploração bem-sucedida permite que o invasor faça login como um usuário interno de altos privilégios (não root), concedendo acesso ao NETCONF. Isso permite a manipulação de todo o tecido SD-WAN, incluindo tabelas de roteamento global, rotas BGP, regras de firewall e topologia de VPN. A vulnerabilidade tem sido explorada ativamente por atores de ameaças, incluindo um grupo patrocinado por estado designado como UAT-8616, que a utilizou para injetar chaves SSH, modificar configurações e escalar privilégios para root.

Recomendações Atualize o Cisco Catalyst SD-WAN Controller, Manager e Validator para a versão 20.12.6.2 ou superior. Restrinja o acesso ao plano de gerenciamento para intervalos de IP de administradores conhecidos via Listas de Controle de Acesso (ACLs) para garantir que o endpoint de autenticação de emparelhamento não seja acessível a partir de fontes de rede arbitrárias. Restrinja todo o acesso externo de entrada aos endpoints NETCONF. Audite os logs de emparelhamento em busca de sequências de anexo não autorizadas e inspecione os bancos de dados de usuários em busca de contas administrativas secundárias não autorizadas. Verifique os hashes de configuração das tabelas de política de segurança e roteamento global em relação a backups conhecidos para detectar caminhos de espelhamento de tráfego maliciosos.