🔎 Cisco SD-WAN CVE-2026-76504: замена буквы на %6a даёт права админа. Как несогласованная URL-нормализация ломает аутентификацию

Коллеги, детальный разбор классической архитектурной ошибки, которая с завидной регулярностью всплывает в веб-интерфейсах сетевых appliance и контроллеров управления.

📌 ФАКТЫ
Уязвимость: CVE-2026-76504, наивысший CVSS 9.8 (Critical), затрагивает API Cisco Catalyst SD-WAN Manager (ранее vManage).

Механика обхода (Improper URL Handling): security-прокси проверяет путь запроса до декодирования URL, а само Java-приложение за ним парсит путь уже после декодирования.

Запрос к POST /%6a_security_check (%6a — hex-код символа j) пролетает мимо фильтра безопасности, попадает в бэкенд как /j_security_check и приводит к мгновенной аутентификации в системе с привилегиями admin / netadmin.

Условия эксплуатации: удаленно, без учетных данных. Cisco зафиксировала реальные атаки «в дикой природе» при расследовании тикета в TAC в сентябре.

Workaround отсутствует. Дыра уже в каталоге CISA KEV (дедлайн на закрытие истек 3 октября).

Контекст: это уже четвертая критическая брешь в SD-WAN Manager за 2026 год (после CVE-2026-20182, 20245, 20262). Предыдущие патчи эту дыру не закрывают.

📦 МАТРИЦА ИСПРАВЛЕНИЙ
Plaintext

Ветка       Исправленный релиз      Ветка       Исправленный релиз
──────────────────────────────────────────────────────────────────
20.9        20.9.10.1               20.18       20.18.4.1
20.12       20.12.8.2               26.1        26.1.2.1
20.15       20.15.6.1               26.2        26.2.1
──────────────────────────────────────────────────────────────────
Ветки < 20.9 — официальный EOL (только плановая миграция на 20.9+)

🛠 ФОРЕНЗИКА И ПРОВЕРКА ЛОГОВ (на ноде vManage)
Bash

# 1. Поиск URL-encoded паттернов в логах реверс-прокси
grep -E 'POST /%[0-9a-fA-F]{2}_security_check' \
  /var/log/nms/containers/service-proxy/serviceproxy-access.log*

# 2. Аудит вызовов j_security_check и аномалий под служебными учетками viptela-reserved-*
grep -E 'j_security_check|viptela-reserved-' /var/log/nms/vmanage-server.log* | tail -100

Быстрый аудит любого веб-сервиса на расхождение в парсинге URL:

Bash

# Сравниваем HTTP-коды ответа на прямой и URL-encoded запросы
curl -sk -o /dev/null -w 'Декодированный путь: %{http_code}\n' https://<host>/j_security_check
curl -sk -o /dev/null -w 'Экранированный путь (%6a): %{http_code}\n' https://<host>/%6a_security_check

💡 В ЧЁМ СУТЬ

Корень проблемы — CWE-177 (URL Parsing/Discrepancy). Это фундаментальная проблема многослойных архитектур: когда фронтенд-фильтр (WAF, Envoy, Nginx, внутренний контейнер-прокси) и целевой бэкенд (Spring/Tomcat) нормализуют URL по разным стандартам.

Золотое правило: валидатор прав и обработчик бизнес-логики обязаны работать с одинаково канонизированным представлением строки запроса.

Четыре критических обхода авторизации подряд на одном продукте за год — четкий сигнал: консоль управления SD-WAN Manager нельзя считать доверенной по умолчанию, даже если на нее накачены прошлые обновления.

🛡 ЧЕКЛИСТ ДЕЙСТВИЙ
Экстренный накат патча: обновиться до актуального таргетированного билда (прошлые заплатки бессильны против %6a).

Периметральная изоляция: порты TCP/443 (Web/API), TCP/22 (SSH) и TCP/830 (NETCONF) контроллеров vManage должны быть полностью отрезаны от публичного интернета. Доступ — строго через VPN / выделенный OOB Jump-хост.

Глубокий аудит логов: просканировать логи serviceproxy-access за сентябрь на наличие шестнадцатеричных последовательностей %XX_security_check.

Реакция на инцидент: при обнаружении совпадений снять диагностический бандл request admin-tech и немедленно эскалировать кейс в Cisco TAC.

#skills #cisco #sdwan #network #security #authbypass #cve #kev #sysadmin #admin_future