Cisco - CVE-2026-76460

Il s'agit d'une vulnérabilité présente dans un point de terminaison d'API de Cisco ISE et Cisco ISE-PIC.

Cisco Identity Services Engine est une plateforme de contrôle d'accès réseau et de gestion des politiques de sécurité. Elle centralise l'authentification, l'autorisation et la comptabilisation des utilisateurs et des équipements qui se connectent à un réseau filaire, sans fil ou VPN. Cisco ISE Passive Identity Connector est un composant complémentaire qui collecte des informations d'identité de façon passive, sans authentification directe des postes.

Le défaut provient d'un contrôle d'authentification insuffisant appliqué à ce point de terminaison. Le composant ne vérifie pas qu'une requête entrante provient d'une session utilisateur authentifiée avant de la traiter. Un attaquant peut envoyer une requête spécialement forgée directement vers ce point de terminaison sans fournir aucun identifiant ni jeton de session valide. Cette requête contourne entièrement les contrôles d'accès normalement appliqués par l'interface web de gestion. D'après les constatations de Cisco lors des exploitations observées dans la nature, l'accès ainsi obtenu peut aboutir à une exécution de commandes avec les privilèges root sur l'équipement.

Elle permet à un attaquant distant et non authentifié d'obtenir un accès non autorisé complet à l'équipement affecté, jusqu'à l'exécution de code arbitraire avec les privilèges les plus élevés.