Trusted Design

CVE-2026-20127 の詳細

CVEの情報

説明:
A vulnerability in the peering authentication in Cisco Catalyst SD-WAN Controller, formerly SD-WAN vSmart, and Cisco Catalyst SD-WAN Manager, formerly SD-WAN vManage, could allow an unauthenticated, remote attacker to bypass authentication and obtain administrative privileges on an affected system. This vulnerability exists because the peering authentication mechanism in an affected system is not working properly. An attacker could exploit this vulnerability by sending crafted requests to an affected system. A successful exploit could allow the attacker to log in to an affected Cisco Catalyst SD-WAN Controller as an internal, high-privileged, non-root user account. Using this account, the attacker could access NETCONF, which would then allow the attacker to manipulate network configuration for the SD-WAN fabric. 

CVE更新日: 2026-02-25 17:25:29.477000

CVSSバージョン: 3.1

CVSSスコア: 10.0

KEVの情報

KEV更新日: 2026-02-25

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.884760000

EPSS更新日: 2026-10-19 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2026-20127について、以下の観点で解説します。

1. 脆弱性の概要

CVE-2026-20127は、Cisco Catalyst SD-WAN製品における認証バイパスの脆弱性です。Cisco Catalyst SD-WAN Controller (旧称 SD-WAN vSmart)、Cisco Catalyst SD-WAN Manager (旧称 SD-WAN vManage)、および Cisco Catalyst SD-WAN Validator (旧称 SD-WAN vBond) のピアリング認証メカニズムに問題があるために存在します。この脆弱性を悪用すると、認証されていないリモートの攻撃者が認証をバイパスし、影響を受けるシステムで管理者権限を取得する可能性があります。

攻撃者は、細工されたリクエストを影響を受けるシステムに送信することでこの脆弱性を悪用できます. 脆弱性の原因は、ピアリング認証メカニズムが適切に機能していないことにあります. 特に、vbond_proc_challenge_ack_ack() ハンドラが標的とされ、攻撃者が制御する verify_status バイトを含む CHALLENGE_ACK_ACK メッセージを送信することで、サーバーがピアエントリを認証済み状態に強制的に設定します。

1.1 影響

  • 認証されていないリモートの攻撃者が、内部の特権の高い非rootユーザーアカウント（vmanage-adminユーザーなど）としてCisco Catalyst SD-WAN Controllerにログインできる可能性があります。
  • このアカウントを使用して、攻撃者はNETCONFにアクセスし、SD-WANファブリックのネットワーク設定を操作することができます。
  • この脆弱性は、SSHキーのインジェクションを可能にし、「Regression Chain」戦略を通じて永続的なrootアクセスを達成するための主要な侵入経路として機能する可能性があります。これには、レガシーファームウェアへのダウングレード、既知の特権昇格の悪用、そしてフォレンジック対策としての最新ファームウェアの再適用が含まれます。

1.2 深刻度

  • CVSSv3.1スコアは10.0（Critical）であり、最大深刻度として評価されています。
  • CWE-287: 不適切な認証 (Improper Authentication) に関連付けられています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

この脆弱性は、Cisco Catalyst SD-WAN Controller、Cisco Catalyst SD-WAN Manager、Cisco Catalyst SD-WAN Validatorに影響を与え、デバイスの設定に関係なく影響を受けます。具体的には、vdaemonサービスのバージョン20.12.5が分析の対象となっています。

Ciscoは、バージョン20.11、20.13、20.16、および20.9より前のバージョンは、ソフトウェアメンテナンスの終了に達していると述べており、顧客にはサポートされているリリースにアップグレードすることを強く推奨しています。

2.2 影響を受ける設定

  • ピアリング認証メカニズムの不具合。
  • 以下の展開タイプに影響します。
    • オンプレミス展開 (On-Prem Deployment)
    • Cisco Hosted SD-WAN Cloud
    • Cisco Hosted SD-WAN Cloud - Cisco Managed
    • Cisco Hosted SD-WAN Cloud - FedRAMP Environment

3. 影響を受けた時の兆候

以下の兆候は、侵害の可能性を示唆している場合があります。

  • /var/log/auth.log で、見慣れないIPアドレスからの「Accepted publickey for vmanage-admin」のようなエントリを監査する。
  • Cisco Catalyst SD-WANログで識別されたすべての制御接続ピアリングイベントの検証。特にvManageピアリングタイプに焦点を当て、予期しない時間に発生したり、認識されないIPアドレスから発信されたり、環境のアーキテクチャと矛盾するデバイスタイプを含んだりする不正なピア接続に注意する。
  • TACレビューのためにアドミンテックバンドルを収集する。

4. 推奨対策

4.1 本対策

  • Cisco Catalyst SD-WANの最新の修正済みソフトウェアバージョンにアップグレードすることを強く推奨します。

4.2 暫定回避策（緩和策）

  • Ciscoは、この脆弱性に対処する回避策はないと述べています。
  • ただし、すべての制御接続ピアリングイベントを手動で検証し、正当性を確認することが重要です。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る