Cisco - CVE-2026-76506
Date de publication :
Il s’agit d’une vulnérabilité dans l’interface de gestion web de Cisco UCS Central Software.
Cisco UCS Central Software est une solution de gestion centralisée de plusieurs domaines Cisco Unified Computing System (UCS). Il fournit une interface web pour administrer ces domaines depuis un point unique.
Elle provient d’une validation insuffisante des données fournies par l’utilisateur dans une requête HTTP. Un attaquant distant doit posséder des identifiants valides sur l’équipement. Il exploite la faille en envoyant une requête HTTP forgée vers un point de terminaison vulnérable. Le traitement de cette requête conduit à l’exécution de commandes arbitraires, à l’écriture de fichiers arbitraires sur le système de fichiers et à la lecture d’informations sensibles. Le produit est affecté quelle que soit sa configuration.
Elle permet à un attaquant distant authentifié d’exécuter du code arbitraire et d’obtenir des informations sensibles.
Informations
La faille est activement exploitée : Non
Un correctif existe : Oui
Une mesure de contournement existe : Non
Exécution de code arbitraire (à distance)
Exploitation
CWE-22 : Improper Limitation of a Pathname to a Restricted Directory
Détails sur l'exploitation
• Vecteur d'attaque : Réseau
• Complexité de l'attaque : Faible
• Privilèges nécessaires pour réaliser l'attaque : Authentification utilisateur simple
• Interaction d'un utilisateur ayant accès au produit est-elle nécessaire : Non
• L'exploitation de la faille permet d'obtenir des droits privilégiés : Non
Preuve de concept
Actuellement, aucune preuve de concept n'est disponible en sources ouvertes.
Systèmes ou composants affectés
Cisco UCS Central Software versions 2.0 et antérieures, y compris les branches 1.x
- Cisco UCS Central Software versions 2.1 antérieures à 2.1(2c)