セキュリティ
Switchzillaは、攻撃者が脆弱な内部APIを通じてテナント境界を越えて機密データにアクセスし、構成変更を加える可能性があると警告しています
Ciscoは、認証されていない攻撃者が単に脆弱なシステムへの細工されたAPIリクエストを送信することで、Secure Workloadプラットフォームのサイト管理者権限を取得できることを警告するもう1つの満点10脆弱性を開示しました。
このバグはCVE-2026-20223として追跡されており、満点10.0 CVSSを獲得しており、SaaSとオンプレミスの両方の環境でCisco Secure Workload Clusterソフトウェアに影響します。Ciscoの簡潔なアドバイザリーによると、この問題は内部RESTAPIエンドポイントの検証と認証チェックが弱いことに帰着します。
実際的には、攻撃者は認証情報、ユーザーインタラクション、またはバグを悪用するための重大な努力を必要としません。Ciscoは、攻撃が成功するとリモート攻撃者が「サイト管理者ユーザーの権限で機密情報を読み取り、テナント境界を越えて構成変更を加える」ことができると述べています。
クロステナント脆弱性は、マルチテナントインフラストラクチャの核となる仮定、つまり他のユーザーの侵害があなたの問題にはならないはずだという仮定を損なうため、クラウド顧客に特に不安を与える傾向があります。
Ciscoは、この脆弱性がプラットフォームのWeb管理インターフェースではなく内部RESTAPIに影響することに注意しました。ただし、この区別は、10.0の重大度スコアを見つめる管理者にはほとんど慰めにはならないでしょう。
ネットワーク企業は、現在のところ回避策はなく、問題を完全に修復するには固定リリースをインストールする必要があると述べています。Cisco Secure Workload 3.10はバージョン3.10.8.3で修正され、4.0はバージョン4.0.3.17で修正されます。バージョン3.9以前を実行しているお客様は、サポートされている固定リリースに移行することを告げられています。Ciscoは、クラウドホストのSaaSデプロイメントが既にパッチが適用されており、顧客アクションは必要ないことを追加しました。
Ciscoは、アクティブな悪用を認識しておらず、脆弱性は内部セキュリティテスト中に発見されたと述べていますが、10.0スコアを携える脆弱性と認証が必要でない脆弱性はめったに静かなままではありません。
このバグは、Ciscoが攻撃者に管理者権限を与えることを許可する可能性があるSD-WANシステムに影響する別の最大重大度脆弱性を開示してから1週間以内に発生します。これは、トップスコアのCiscoセキュリティアドバイザリーの数が増えている厄介な状況を続けています。
同社は過去1年の大部分をファイアウォール、管理プラットフォーム、アイデンティティシステム、エンタープライズネットワークギアにまたがる製品全体で、次々と9.8以上のインフラ脆弱性を1つずつ開示することに費やしてきました。この時点で、Ciscoは10.0 CVSSスコアを特別な機会ではなく定期的な機能として扱っているように見えます。 ®
