Ciscoは水曜日、自社製品における15件の脆弱性に対するパッチを発表しました。この中には、CrossworkおよびSecure Workloadにおける重大(critical)および高(high)深刻度の欠陥も含まれています。
Crosswork version 7.2.1-SPがリリースされ、4件の重大な深刻度のCVEが修正されました。このうち3件、CVE-2026-20030、CVE-2026-20357、CVE-2026-20358は最大深刻度(CVSSスコア10/10)を記録しており、4件目のCVE-2026-20359もほぼ最大の深刻度(CVSSスコア9.9/10)となっています。
Ciscoによると、各CVEはそれぞれ同一の脆弱性クラスに属する複数の問題をまとめたものです。最初の3件はSQLインジェクション、認証の欠如、ファイルシステムの外部制御に関する問題であり、4件目には認証情報の保護不足が含まれます。
これらのセキュリティ上の欠陥が悪用に成功した場合、攻撃者はリモートコード実行(RCE)、認証バイパス、パストラバーサル、ファイルの上書き・削除といった攻撃を仕掛けられる可能性があります。
水曜日、CiscoはSecure Workload version 4.0.4.16および3.10.9.1をリリースし、複数の問題をまとめた5件のCVEを修正しました。このうち4件は「重大」の深刻度評価を受けています。
CVE-2026-20315とCVE-2026-20317は、バイパスにつながる可能性のあるアクセス制御と認証の不備をカバーしています。CVE-2026-20231はコード・OSコマンドインジェクションをまとめたものであり、CVE-2026-20318は入力検証とパストラバーサルの問題をカバーしています。
5件目のCVEはバッファオーバーフローと範囲外書き込みの問題をカバーしており、まとめてCVE-2026-20319として追跡されています。
Ciscoはまた、BroadWorksのOpen Client Interface(OCI)XMLパーサーにおける高深刻度のセキュリティ欠陥も解決しました。この脆弱性は、認証なしでリモートから悪用され、機密性の高い設定情報を読み取られる恐れがありました。
CVE-2026-20320として追跡されているこの脆弱性は、外部エンティティの解決がデフォルトで許可されていたことに起因します。これにより攻撃者は細工したXMLメッセージを送信し、BroadWorksユーザー権限で機密ファイルを閲覧できる状態になっていました。
この欠陥は、BroadWorks Application Delivery Platform、BroadWorks Application Server、BroadWorks Profile Server、BroadWorks Xtended Services Platformのversion RI.2026.07で解決されています。
さらに同社は、Unified Intelligence Center、RoomOS、Industrial Ethernet(IE)1000シリーズスイッチ、Packaged Contact Center Enterprise(CCE)およびUnified Contact Center Enterprise(CCE)における中程度の深刻度の脆弱性についても修正パッチをリリースしました。
Ciscoによれば、これらの脆弱性が実際に悪用された事例は確認されていないとのことです。詳細情報は同社のセキュリティアドバイザリページで確認できます。
翻訳元: https://www.securityweek.com/cisco-patches-critical-crosswork-secure-workload-vulnerabilities/
