CVE-2026-20324: Kritisk fejl i Cisco Secure FMC
Kritisk fejl i Cisco Secure Firewall Management Center (CVE-2026-20324) giver en almindelig bruger root-adgang til systemet. Opdater FMC og begræns adgangen til sftunnel.
Hvad er det?
CVE-2026-20324 er en kritisk sårbarhed i Cisco Secure Firewall Management Center (FMC), det system, der styrer og overvåger Ciscos firewalls. Fejlen findes i sftunnel, den protokol som FMC bruger til at kommunikere med de firewalls, den administrerer. En bruger, der allerede har gyldige loginoplysninger til FMC, kan udnytte forkerte filrettigheder i sftunnel til at skrive en fil til en vilkårlig placering på systemet. Filen kan derefter blive kørt med de højeste rettigheder, kaldet root, hvilket giver angriberen fuld kontrol over enheden.
Hvem rammer det?
Sårbarheden rammer virksomheder og kommuner, der bruger Cisco Secure Firewall Management Center til at administrere en eller flere Cisco-firewalls, herunder Firepower og Secure Firewall-enheder. Det gælder både FMC-servere og de enheder, der er registreret som sftunnel-peers til FMC’en. Alle med et FMC-miljø i drift bør afklare, om deres version er ramt.
Hvad kan ske?
En angriber med en gyldig, lavt privilegeret konto på FMC kan overtage sftunnel-forbindelsen eller udgive sig for en registreret enhed og sende en kommando, der skriver en skadelig fil til disken. Filen køres med root-rettigheder, så angriberen får fuld kontrol over selve styringssystemet for firewallene. Det kan bruges til at ændre firewallregler, slukke for logning eller sikkerhedsfunktioner og få adgang videre ind i virksomhedens netværk.
Hvor alvorligt er det?
CVSS-scoren er 9,9 ud af 10, hvilket er blandt de højeste, der udstedes. Angrebet kræver login, men kun med lave privilegier, og der kræves ingen handling fra en bruger for at udløse fejlen. Det kan udføres over netværket, uden at angriberen behøver have adgang til lokalnetværket i forvejen. Ved offentliggørelsen var der ikke rapporteret aktiv udnyttelse, men fordi angrebet kun kræver en almindelig gyldig konto og ikke administratorrettigheder, er skridtet til udnyttelse kort.
Hvad gør jeg nu?
Følg disse skridt for at lukke hullet og begrænse risikoen, mens I opdaterer.
- Opdater Cisco Secure Firewall Management Center til den rettede softwareversion fra Cisco. Det lukker selve sårbarheden.
- Gennemgå, hvem der har gyldige konti med adgang til FMC, og fjern konti, der ikke længere er i brug.
- Begræns netværksadgangen til FMC’s management-interface, så kun betroede administratornetværk kan nå det.
- Kontrollér, hvilke enheder der er registreret som sftunnel-peers, og fjern eller genregistrer enheder I ikke kan bekræfte er legitime.
- Overvåg logs for uventede sftunnel-kommandoer eller filskrivninger på FMC.
- Kontakt Auroa eller jeres Cisco-leverandør, hvis I ikke kan verificere jeres version, eller hvis I finder tegn på udnyttelse.
Opdater inden for 72 timer
Vi anbefaler, at I opdaterer Cisco Secure Firewall Management Center til den rettede softwareversion fra Cisco, så snart den er tilgængelig for jeres platform. Indtil opdateringen er gennemført, bør I gennemgå, hvem der har gyldige konti med adgang til FMC, og begrænse netværksadgangen til management-interfacet. Det er kun forsvarligt at vente, hvis I kan dokumentere, at FMC’s management-interface ikke er tilgængeligt fra usikre netværk, og at ingen uautoriserede har adgang til gyldige loginoplysninger.
Tidslinje
Konkrete eksempler
Lækkede medarbejderoplysninger giver adgang til firewall-styringen
En dansk kommune bruger Cisco Secure Firewall Management Center til at styre firewalls på tværs af flere lokationer. Loginoplysninger for en tidligere medarbejder med lav adgang er ikke blevet slettet og dukker op i et datalæk. En angriber bruger kontoen til at udgive sig for en registreret sftunnel-enhed og skriver en skadelig fil, der køres med root-rettigheder på FMC. Angriberen får derefter adgang til at ændre firewallregler for hele kommunens netværk.
Ofte stillede spørgsmål
Er vi ramt af CVE-2026-20324?
I er ramt, hvis I bruger Cisco Secure Firewall Management Center til at administrere jeres Cisco-firewalls. Tjek jeres FMC-version mod Ciscos sikkerhedsrådgivning for CVE-2026-20324 for at se, om jeres version er nævnt som sårbar.
Kræver angrebet, at angriberen er administrator?
Nej. Angriberen skal have gyldige loginoplysninger til FMC, men kun med lave privilegier. Det gør sårbarheden mere sandsynlig at blive udnyttet, fordi mange almindelige konti kan opfylde kravet.
Kan vi vente til den næste planlagte opdatering?
Vi anbefaler ikke det. CVSS-scoren på 9,9 og den lave adgangsbarriere betyder, at en kompromitteret almindelig konto er nok til fuld overtagelse af FMC. Opdater eller isoler management-interfacet før næste planlagte vindue.
Hvordan tjekker vi, om vores FMC er sårbar?
Sammenlign jeres nuværende FMC-softwareversion med listen over rettede versioner i Ciscos sikkerhedsrådgivning for CVE-2026-20324, og kontakt jeres Cisco-leverandør eller os, hvis I er i tvivl.
Skal vi anmelde dette som et sikkerhedsbrud?
Kun hvis I finder tegn på, at sårbarheden er blevet udnyttet, og at der er sket adgang til eller ændring af data. Uden tegn på udnyttelse er det en sårbarhed, der skal rettes, ikke i sig selv en anmeldelsespligtig hændelse.
Kan vi bruge en midlertidig løsning, hvis vi ikke kan opdatere med det samme?
Ja. I kan begrænse, hvilke enheder og IP-adresser der kan oprette sftunnel-forbindelser til FMC, og gennemgå konti med adgang. Det reducerer risikoen, men fjerner ikke selve sårbarheden, så opdatering skal stadig planlægges.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
A vulnerability in the sftunnel inter-device communication protocol of Cisco Secure Firewall Management Center (FMC) Software could allow an authenticated, remote attacker to execute arbitrary commands as root.
This vulnerability exists because a registered sftunnel peer has incorrect permissions to write an arbitrary file to any location on the device. An attacker could exploit this vulnerability by hijacking the sftunnel communication connection or being a valid registered sftunnel peer and sending an sftunnel command to write a malicious file to the disk of an affected device. A successful exploit could allow the attacker to write a file to the device that is executed with root privileges. To exploit this vulnerability, the attacker must have valid user credentials on the affected device.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.