Cisco - CVE-2026-20150

Il s'agit d'une vulnérabilité de contrôle d'accès incorrect dans le système RoomOS, regroupant plusieurs faiblesses internes de la même classe liées à l'authentification, aux privilèges et aux mécanismes de contournement d'autorisation, découvertes lors d'un audit de sécurité interne mené par les équipes d'ingénierie de Cisco.

RoomOS est le système d'exploitation embarqué sur les terminaux de visioconférence Cisco, notamment les gammes Room Kit, Board et Desk. Il gère l'ensemble des fonctions de l'appareil, de l'établissement des appels vidéo à l'intégration avec les plateformes de collaboration cloud ou sur site.

Le composant logiciel du terminal ne vérifie pas correctement les autorisations attribuées à certaines opérations internes avant de les exécuter, ce qui laisse la porte ouverte à des actions non prévues par le modèle de sécurité du système. Cette faille est exploitable par un attaquant distant disposant déjà de privilèges faibles sur le terminal, sans nécessiter d'interaction de la part d'un utilisateur légitime.

Elle permet à un attaquant distant à faibles privilèges de porter atteinte à la confidentialité, à l'intégrité et à la disponibilité du système.