Cisco وصله امنیتی برای آسیب‌پذیری فعال در SD-WAN Manager منتشر کرد

شرح آسیب‌پذیری

بر اساس گزارش امنیتی Cisco، این نقص در رابط وب Cisco Catalyst SD-WAN Manager (پیش‌تر با نام SD-WAN vManage) وجود دارد و می‌تواند به یک مهاجم راه‌دور که دارای سطح دسترسی معتبر است اجازه دهد فایل‌های دلخواه خود را در سیستم ایجاد یا بازنویسی کند.

ریشه این مشکل به عدم اعتبارسنجی صحیح ورودی‌های کاربر در فرآیند آپلود فایل بازمی‌گردد. در نتیجه، مهاجم می‌تواند با ارسال درخواست‌های HTTP دستکاری‌شده به API مربوطه، فایل‌هایی را در سیستم‌عامل میزبان قرار داده یا جایگزین کند.

در صورت بهره‌برداری موفق، این آسیب‌پذیری می‌تواند به افزایش سطح دسترسی تا سطح root منجر شود؛ هرچند برای سوءاستفاده، وجود دسترسی اولیه معتبر (حداقل سطح نوشتن) الزامی است.

محصولات تحت تأثیر

این آسیب‌پذیری تمامی نسخه‌ها و مدل‌های استقرار زیر را شامل می‌شود:

Cisco Catalyst SD-WAN Manager On-Prem Cisco SD-WAN Cloud-Pro Cisco SD-WAN Cloud (Managed Service) Cisco SD-WAN for Government (FedRAMP)

نسخه‌های اصلاح‌شده

Cisco این آسیب‌پذیری را در نسخه‌های زیر برطرف کرده است:

نسخه‌های 20.9.9.1 و پایین‌تر → اصلاح در 20.9.9.2 نسخه‌های 20.12.7.1 و پایین‌تر → اصلاح در 20.12.7.2 نسخه‌های 20.15.4.4 و پایین‌تر → اصلاح در 20.15.4.5 نسخه‌های 20.15.5.2 و پایین‌تر → اصلاح در 20.15.5.3 نسخه 20.18.3 → اصلاح در 20.18.3.1 نسخه‌های 26.1.1.1 و پایین‌تر → اصلاح در 26.1.1.2 شاخص‌های نفوذ (IoC)

Cisco اعلام کرده است که در ژوئن 2026 نشانه‌هایی از سوءاستفاده محدود و هدفمند از این آسیب‌پذیری مشاهده شده است. از مدیران شبکه خواسته شده است لاگ‌های زیر را برای بررسی فعالیت‌های مشکوک مورد بازبینی قرار دهند:

/var/log/nms/vmanage-server.log

نمونه‌ای از فعالیت مشکوک:

uploaded Remote Access Anyconnect profile file: ../../../../var/lib/wildfly/standalone/deployments/suspicious.war

نشانه‌های پس از نفوذ

در برخی موارد، آثار فعالیت مهاجم شامل موارد زیر گزارش شده است:

استقرار فایل مخرب suspicious.war ثبت اجرای آن در لاگ‌های سیستم ارسال درخواست‌های مشکوک به مسیرهایی مانند: POST /suspicious/index.jsp

جمع‌بندی

این آسیب‌پذیری هشتمین مورد از ضعف‌های امنیتی فعال در محصولات Cisco SD-WAN طی سال جاری محسوب می‌شود؛ برخی از این موارد به گروه‌های تهدید پیشرفته (APT) نسبت داده شده‌اند.

در همین راستا، آژانس CISA این آسیب‌پذیری را در فهرست Known Exploited Vulnerabilities (KEV) قرار داده و به سازمان‌های فدرال ایالات متحده دستور داده است تا حداکثر تا 29 ژوئن 2026 نسبت به اعمال وصله‌های امنیتی اقدام کنند.