[TLP:CLEAR] Cisco opravuje 15 zraniteľností v rôznych produktoch

Cisco opravuje 15 zraniteľností vo svojich produktoch, z toho 9 kritických v produktoch Secure Workload a Crosswork, ktoré zverejnilo zoskupené podľa triedy chyby, bez bližších detailov o jednotlivých chybách [1][2]. Najzávažnejšie z ostatných zraniteľností sú popísané nižšie, zvyšok nájdete na [9]. Produkty a ich opravené verzie: Cisco Secure Workload – 3.10.9.1, 4.0.4.16 [1] Cisco Crosswork – 7.2.1-SP [2] Cisco BroadWorks – RI.2026.07 [3] Cisco Packaged Contact Center Enterprise, Cisco Unified Contact Center Enterprise – 15.0(1)ES202607 [4] Cisco RoomOS – 11.32.7.0, 11.40.1.1, 26.7.2.2, 26.7.1.12 [5] Cisco Industrial Ethernet 1000 Series Switches – 1.9.6 [6][7] Cisco Unified Intelligence Center – 12.6(2) ES08, 15.0(1) SU2 [8] *Pri produkte Cisco Secure Workload je potrebné aktualizovať Cluster, Agent aj Connector softvér. V prípade SaaS nasadení Cisco už aktualizovalo Cluster a zákazníci musia aktualizovať len Agent a Connector [1].

Cisco BroadWorks - information disclosure (CVE-2026-20320)
CVSS 7.5 (High)

Neautentizovanému vzdialenému útočníkovi je v dôsledku predvolene povoleného spracovania externých XML entít v XML parseri rozhrania Open Client Interface umožnené prostredníctvom špeciálne vytvorenej XML správy čítať citlivé súbory zo súborového systému s oprávneniami používateľa, pod ktorým beží Cisco BroadWorks [3].

Zraniteľnosť sa nachádza v produktoch:

  • Cisco BroadWorks Application Delivery Platform; <RI.2026.07
  • Cisco BroadWorks Application Server; <RI.2026.07
  • Cisco BroadWorks Profile Server; <RI.2026.07
  • Cisco BroadWorks Xtended Services Platform; <RI.2026.07

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Viac informácií:

Zraniteľnosť bola verejne oznámená 19. 8. 2026.

Cisco Unified Intelligence Center - SQL injection (CVE-2026-20327)
CVSS 6.5 (Medium)

Autentizovanému vzdialenému útočníkovi s nízkymi oprávneniami je v dôsledku nedostatočnej validácie vstupu vo webovom rozhraní umožnené prostredníctvom špeciálne vytvorenej požiadavky vykonať útok typu blind SQL injection a čítať obsah internej databázy zariadenia [8].

Zraniteľnosť sa nachádza v produkte:

  • Cisco Unified Intelligence Center; >=12.6, <12.6(2)ES08; >=15.0, <15.0(1)SU2

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

Viac informácií:

  • CVE-2026-20327 na cve.org, NVD
  • CWE-89: Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 19. 8. 2026.

Cisco RoomOS - RCE (CVE-2026-20302)
CVSS 6.1 (Medium)

Neautentizovanému útočníkovi s fyzickým prístupom k zariadeniu je v dôsledku nedostatočnej kontroly hraníc v USB ovládači umožnené pripojením škodlivého zariadenia spôsobiť pretečenie zásobníka a spustiť ľubovoľný kód s oprávneniami používateľa root [5].

Zraniteľnosť sa nachádza v produkte:

  • Cisco RoomOS; <=11.32.7.0; >=26, <26.7.2.2

CVSS: CVSS:3.1/AV:P/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N

Viac informácií:

  • CVE-2026-20302 na cve.org, NVD
  • CWE-120: Buffer Copy without Checking Size of Input ('Classic Buffer Overflow') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 19. 8. 2026.

Za CESNET, z.s.p.o. Henrieta Paločková dňa 20. 8. 2026.

CESNET, z.s.p.o. Logo