CVE-2026-20133 : Vulnérabilité de divulgation d’informations sensibles dans Cisco Catalyst SD-WAN Manager

Sommaire exécutif (Executive Summary)

Cisco Catalyst SD-WAN Manager contient une vulnérabilité d’exposition d’informations sensibles à un acteur non autorisé. Cette vulnérabilité est due à des restrictions insuffisantes du système de fichiers dans le logiciel Cisco Catalyst SD-WAN. Un attaquant authentifié disposant des privilèges netadmin peut exploiter cette vulnérabilité en accédant au vshell d’un système affecté. Une exploitation réussie pourrait permettre à l’attaquant de lire des informations sensibles sur le système d’exploitation sous-jacent. Cette vulnérabilité est identifiée sous le nom CVE-2026-20133 et figure dans le catalogue des vulnérabilités exploitées connues (KEV) de la CISA.

Détails de la vulnérabilité

• Identifiant CVE : CVE-2026-20133
• Score CVSS : 7.5 (NIST) / 6.5 (CNA)
• CWE : CWE-200 : exposition d’informations sensibles à un acteur non autorisé
• Cause racine : la vulnérabilité découle de restrictions insuffisantes du système de fichiers au sein du logiciel Cisco Catalyst SD-WAN.
• Produits affectés : Cisco Catalyst SD-WAN Manager (consultez l’avis du fournisseur pour obtenir la liste détaillée des versions).

Vecteur d’attaque et analyse technique

L’exploitation repose sur un accès authentifié avec des privilèges netadmin. En ciblant le point de terminaison vshell, un adversaire peut contourner les restrictions prévues du système de fichiers. Cette interaction facilite l’accès en lecture non autorisé à des fichiers système, offrant une visibilité sur des informations sensibles résidant sur le système d’exploitation sous-jacent. La nature de la fonctionnalité vshell sur le périphérique en fait un point focal pour cette vulnérabilité.

Atténuation et détection

Il est recommandé d’appliquer immédiatement les correctifs de sécurité fournis par le fournisseur. Les organisations doivent surveiller les journaux d’accès au système pour détecter les interactions anormales avec le point de terminaison vshell, en particulier de la part de comptes détenant des privilèges netadmin.

Règles de détection

Sigma

title: Cisco SD-WAN Manager vshell Unauthorized Access
status: experimental
description: Détecte les accès non autorisés ou inhabituels au point de terminaison vshell sur Cisco SD-WAN Manager.
logsource:
  product: cisco_sdwan
detection:
  selection:
    event_type: "vshell_access"
    user_privileges: "netadmin"
  condition: selection

KQL

CiscoSDWANLogs
| where event_type == "vshell_access"
| where user_privileges == "netadmin"
| project TimeGenerated, SourceIP, User, Action, Details

Références

• Détail NVD : cve-2026-20133
• Enregistrement CVE : cve-2026-20133
• Catalogue des vulnérabilités exploitées connues de la CISA