Trusted Design

CVE-2026-76504 の詳細

CVEの情報

説明:
A vulnerability in the API session-based authentication management of Cisco Catalyst SD-WAN Manager could allow an unauthenticated, remote attacker to access an affected system with privileges of the admin user. This vulnerability is due to improper handling of URI encoding in an HTTP request, which allows the request to bypass an authentication rule that is intended to restrict access to a specific API endpoint. An attacker could exploit this vulnerability by sending a crafted HTTP request to the API of the affected system. A successful exploit could allow the attacker to bypass authentication and gain access to the API as the admin user.

CVE更新日: 2026-09-30 13:17:20.247000

CVSSバージョン: 3.1

CVSSスコア: 9.8

KEVの情報

KEV更新日: 2026-09-30

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.018190000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2026-76504に関する調査結果を以下に解説します。

1. 脆弱性の概要

Cisco Catalyst SD-WAN Manager（旧vManage）のAPIセッションベース認証管理に存在する認証バイパスの脆弱性です。HTTPリクエストにおけるURIエンコーディングの不適切な処理に起因し、特定のAPIエンドポイントへのアクセスを制限する認証ルールを回避できます。その結果、認証されていないリモート攻撃者がadminユーザーの権限でAPIへアクセスできるようになります。

具体的には、/j_security_checkのような標準のJavaログイン処理エンドポイントに対して、文字「j」をURLエンコードした/%6a_security_checkのような細工されたHTTPリクエストを送信することで、認証ルールを迂回して管理者レベルのAPIアクセスを獲得することが可能です。

1.1 影響

認証されていないリモート攻撃者が、adminユーザーの権限でAPIにアクセスできる可能性があります。これにより、SD-WANインフラ全体の設定、プロビジョニング、監視、ソフトウェア更新などを集中管理するCisco Catalyst SD-WAN Managerを攻撃者に掌握される可能性があります。ただし、アドバイザリではOSのroot権限の取得については言及されていません。

1.2 深刻度

  • CVSSv3.1スコア: 9.8 (Critical)
  • CWE: CWE-177「Improper Handling of URL Encoding (Hex Encoding)」
  • この脆弱性は、米国のCISA (Cybersecurity and Infrastructure Security Agency) のKnown Exploited Vulnerabilities (KEV) Catalogに「悪用が確認された脆弱性」として追加されており、実際に攻撃で悪用されていることが確認されています。

2. 対象となる環境

2.1 影響を受ける製品

Cisco Catalyst SD-WAN Manager（旧vManage）が対象製品です。

2.2 影響を受けるOSバージョン

OSバージョンではなく、Cisco Catalyst SD-WAN Managerのソフトウェアリリースに依存します。影響を受けるソフトウェアリリースを使用している場合、システム構成にかかわらず影響を受けます。特に、管理インターフェースやAPIがインターネットに公開されているシステムは、侵害のリスクが非常に高くなります。

2.3 影響を受ける設定

システム構成にかかわらず影響を受けます。

3. 影響を受けた時の兆候

Ciscoは、侵害の兆候 (Indicators of Compromise: IOCs) を公開しており、疑わしい活動を調査することを推奨しています。

以下のログファイルで不審なアクセスがないか確認してください。 * /var/log/nms/containers/service-proxy/serviceproxy-access.log * /var/log/nms/vmanage-server.log

これらのログ内で、未知または許可されていないIPアドレスからのj_security_check関連のアクセス、特にURIエンコードされた文字（例: %6a）を含むリクエストに注意してください。また、vmanage-server.logでは、viptela-reserved-で始まるユーザーによるj_security_checkリクエストも調査対象となります。

ただし、これらの兆候の一部は通常のシステム運用中にも発生する可能性があるため、通常のネットワークの状態と照合して誤検知を除外することが重要です。

侵害の可能性がある場合は、admin-techファイルを取得し、Cisco Technical Assistance Center (TAC) に問い合わせて調査を依頼することが推奨されています。

4. 推奨対策

4.1 本対策

Ciscoから提供されている修正済みのソフトウェアリリースへ、緊急にアップグレードすることが強く推奨されています。

以下のバージョンが修正版として公開されています。 * 20.9系列: 20.9.10.1 * 20.12系列: 20.12.8.2 * 20.15系列: 20.15.6.1 * 20.18系列: 20.18.4.1 * 26.1系列: 26.1.2.1 * 26.2系列: 26.2.1 * Cisco SD-WAN Cloud（Cisco Managed）はリリース20.15.605で既に修正済みであり、利用者側での対応は不要です。 * 20.9より前のリリースを使用している場合は、サポートされている修正済みリリースへの移行が必要です。

4.2 暫定回避策（緩和策）

脆弱性を直接解消するワークアラウンドは提供されていません。

しかし、暫定的な緩和策として以下が推奨されています。 * オンプレミス環境の場合、インターネットなどの信頼されていないネットワークからCisco Catalyst SD-WAN Managerへの直接アクセスを制限する。 * アクセスが必要な場合でも、既知の信頼できるホストのみにアクセス元を制限する。 * SD-WANの制御コンポーネントをフィルタリング機器の背後に配置する。

5. 他に解説すべき観点

  • ゼロデイ攻撃としての悪用: この脆弱性は、Ciscoが修正プログラムを公開する以前に、実際に攻撃者によって悪用されていた「ゼロデイ脆弱性」です。これは、脆弱性の緊急性が非常に高いことを示しています。
  • CISA KEV Catalogへの追加: 米国のサイバーセキュリティインフラストラクチャセキュリティ庁（CISA）は、CVE-2026-76504をKnown Exploited Vulnerabilities (KEV) Catalogに追加しました。これは、政府機関に対して2026年10月3日までに是正措置を講じるよう求めるものであり、この脆弱性が高いリスクをもたらすことを強調しています。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る