Cisco informuje o krytycznych podatnościach. (P26-366)

utworzone przez | wrz 15, 2026 | Aktualizacje, Podatności

ProduktCisco AsyncOS dla Cisco Secure Email Gateway:
Wersje wcześniejsze niż 15.5.5-014
Wersje wcześniejsze niż 16.0.4-302
Wersje wcześniejsze niż 16.5.0-780
Numer CVECVE-2026-76461 
Krytyczność9.8/10 
CVSSAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H 
OpisPodatność w mechanizmie przetwarzania wiadomości e-mail w oprogramowaniu Cisco AsyncOS dla urządzenia Cisco Secure Email Gateway może umożliwić nieuwierzytelnionemu, zdalnemu atakującemu wykonanie dowolnych poleceń z uprawnieniami użytkownika root. Luka wynika z niewystarczającej walidacji w logice przetwarzania wiadomości e-mail. Atakujący mógłby wysłać specjalnie przygotowaną wiadomość zawierającą złośliwe instrukcje SQL. Skuteczne wykorzystanie podatności mogłoby pozwolić na wykonanie dowolnych instrukcji SQL oraz poleceń z uprawnieniami użytkownika root w systemie operacyjnym.
  
AktualizacjaTAK
Linkhttps://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-esa-inj-2bLVGmhX
ProduktCisco Secure Email Gateway  Wersje wcześniejsze niż 15.5.5-014  Wersje wcześniejsze niż 16.5.0-780
Cisco Secure Email and Web Manager  Wersje wcześniejsze niż 15.5.5-006  Wersje wcześniejsze niż 16.5.0-429
Numer CVECVE-2026-76440
Krytyczność9,8/10
CVSSAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
OpisPodatności typu „path traversal” (przechodzenie po ścieżce), obejmujące niewłaściwe ograniczenie ścieżki pliku do katalogu o ograniczonym dostępie oraz nieprawidłowe rozwiązywanie ścieżek (np. dowiązań) przed uzyskaniem dostępu do pliku.
  
Numer CVECVE-2026-76441
Krytyczność9,8/10
CVSSAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
OpisPodatności związane z niewłaściwą kontrolą dostępu, obejmujące kwestie autoryzacji, uwierzytelniania, uprawnień oraz mechanizmów ich obchodzenia.
  
Numer CVECVE-2026-20353
Krytyczność9,8/10
CVSSAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
OpisPodatności wynikające z niewłaściwej kontroli zasobów w trakcie ich cyklu życia, obejmujące niekontrolowane zużycie zasobów, złożoność obliczeniową, rekurencję lub iterację, deserializację oraz nieprawidłową inicjalizację zasobów.
  
Numer CVECVE-2026-76443
Krytyczność9,8/10
CVSSAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
OpisPodatności związane z niewłaściwą neutralizacją danych wejściowych, obejmujące m.in. wstrzykiwanie poleceń (command injection), wstrzykiwanie kodu SQL (SQL injection), wstrzykiwanie kodu/wykonywanie kodu (code/eval injection) oraz ataki typu cross-site scripting (XSS). Potwierdzono aktywne wykorzystywanie jednej z podatności należących do tej klasy.
  
Numer CVECVE-2026-76442
Krytyczność7,5/10
CVSSAV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
OpisPodatności wynikające z niewłaściwej walidacji określonych wartości liczbowych w danych wejściowych, obejmujące pola liczbowe bez ograniczeń górnych, co prowadzi do nadmiernego zużycia zasobów.
  
AktualizacjaTAK
Linkhttps://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-hardening-esa-dfCrfXkm