BDU:2026-17779

Средний

BDU:2026-17779: Уязвимость сервера управления и мониторинга экстренных вызовов Cisco Emergency Responder и систем обработки вызовов Cisco Unified Communications Manager (Unified CM) и Cisco Unified Communications Manager Session Management Edition (Unified CM SME), связанная с неверным ограничением имени пути к каталогу с ограниченным доступом, позволяющая нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации

CVSS v37.8

CVSS v26.8

Пересчитать в калькуляторе Открыть на bdu.fstec.ru К реестру

Описание

Уязвимость сервера управления и мониторинга экстренных вызовов Cisco Emergency Responder и систем обработки вызовов Cisco Unified Communications Manager (Unified CM) и Cisco Unified Communications Manager Session Management Edition (Unified CM SME) связана с неверным ограничением имени пути к каталогу с ограниченным доступом. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации

Что делать с BDU:2026-17779

Уязвимость среднего уровня (CVSS 7.8) — устраните в рамках планового цикла обновлений. Срок задаёт внутренний регламент организации (п. 38 приказа ФСТЭК № 117). Оцените применимость к вашей инфраструктуре через список затронутого ПО.

Используйте калькулятор CVSS для пересчёта с учётом вашей среды. Автоматизируйте мониторинг через модуль БДУ ФСТЭК в КиберОснова.

Оценка критичности (CVSS)

v3.1

7.8Высокий

Пересчитать →

6.8

Только просмотр

AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HAV:L/AC:L/Au:S/C:C/I:C/A:C

CWE — тип уязвимости

CWE-22

CVE — международный идентификатор

CVE-2026-76479

CWE-22

Обход каталогов

CWE-22 — обход каталогов: путь к файлу строится из внешних данных без очистки спецсимволов. Ошибка возникает в обработчиках загрузки файлов, где имя из параметров запроса или формы подставляется в open() без проверки. Злоумышленник подставляет ../ или абсолютный путь и читает конфигурацию, ключи и исходный код, недоступные через обычные сценарии.

Как атакуют и что делать ▾

Сценарий атаки

Через параметр пути передаётся ../../etc/passwd — сервер возвращает файл за пределами разрешённой директории.

Последствия

Чтение конфигураций, паролей, ключей. В некоторых случаях — запись произвольных файлов.

Рекомендации

Нормализуйте пути (realpath), используйте chroot/jail, запретите ../ в пользовательском вводе.

Тактики и техники

Манипулирование ресурсами

Уязвимое ПО (6)

Вендор	Название	Версия	Платформа
Cisco Systems, Inc.	Cisco Emergency Responder	от 14 до 15SU5	Не указана
Cisco Systems, Inc.	Cisco Prime Collaboration Deployment	от 14 до 15SU5	Не указана
Cisco Systems, Inc.	Cisco Unified Communications Manager	от 14 до 15SU5	Не указана
Cisco Systems, Inc.	Cisco Unified Communications Manager SME	от 14 до 15SU5	Не указана
Cisco Systems, Inc.	Unified Communications Manager IM and Presence Service	от 14 до 15SU5	Не указана
Cisco Systems, Inc.	Unity Connection	от 14 до 15SU5	Не указана

Источники (1)

https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/ci…

SLA ФСТЭК №117

7 дней

по базовой оценке CVSS 7.8

Уточните SLA под вашу среду

Базовый балл 7.8 не учитывает инфраструктуру. Задайте Environmental-метрики (CR/IR/AR) в калькуляторе — SLA пересчитается автоматически.

Пересчитать CVSS с учётом среды

Threat Intelligence

SSVC: Отслеживать (повышенный)

Умеренный риск. Включите в плановый цикл обновлений, следите за изменением EPSS.

EPSS — вероятность эксплуатации0.2%

Вероятность эксплуатации в 30 дней (FIRST EPSS)

Информация

Обнаружена

2026-10-21

Опубликована

2026-10-27

Обновлена

2026-10-27

Эксплойт

Данные уточняются

Исправление

Уязвимость устранена

Статус

Подтверждена производителем

Управляйте уязвимостями, а не таблицами

Платформа КиберОснова импортирует БДУ ФСТЭК и привязывает уязвимости к вашим активам.

Уязвимости → активы → ответственные — цепочка за минуту
PDF-отчёт для ФСТЭК — за один клик

Попробовать бесплатно

Внешние ресурсы

БДУ ФСТЭК NVD: CVE-2026-76479 MITRE: CWE-22 Каталог CPE (ФСТЭК) Реестр сертифицированных СЗИ ФСТЭК