Cisco Catalyst SD-WAN Controller Authenticated Privilege Escalation Vulnerability

Falha de escalonamento de privilégios no CLI do Cisco Catalyst SD-WAN Controller, SD-WAN Manager e SD-WAN Validator: um usuário autenticado com privilégios netadmin pode enviar um arquivo malformado (ex.: CSV via comando de upload) e executar comandos arbitrários como root. É CVSS 7.8, mas o vetor é local (AV:L) e exige privilégio netadmin prévio — a gravidade real depende de como esse acesso é obtido. Está no catálogo KEV da CISA com exploração confirmada e existe PoC pública, e a própria Cisco relatou casos em que a exploração resultou em alteração de configuração empurrada para dispositivos de borda (edge devices).

A vulnerabilidade é classificada como CWE-116 (Improper Encoding or Escaping of Output) no CLI dos componentes de controle do SD-WAN. Scripts internos que processam uploads de arquivo — evidenciados nos logs como vconfd_script_upload_tenant_list.sh, vconfd_script_upload_vsmart_serial_numbers.sh e vconfd_script_upload_chassis_number_file.sh — recebem um caminho de arquivo (parâmetro '-cli path') e conteúdo fornecidos pelo usuário sem validação/escaping suficiente antes de processá-los. Esse processamento roda com privilégios de root, então dados do arquivo (nome, caminho ou conteúdo) controlados pelo atacante podem ser interpretados como comando pelo shell/script subjacente, gerando injeção de comando.

O atacante controla o conteúdo e/ou o caminho do arquivo enviado via CLI — por exemplo, um CSV de 'tenant list' ou 'serial numbers' que normalmente é usado em operações administrativas legítimas do fabric SD-WAN. A falha atinge Catalyst SD-WAN Controller, SD-WAN Manager e SD-WAN Validator 'independente da configuração do dispositivo', segundo a Cisco, ou seja, não depende de feature opcional habilitada — qualquer instalação com a função de upload de arquivo via CLI está exposta se o atacante tiver a permissão necessária.

O pré-requisito crítico é a permissão netadmin — o CVSS já reflete isso com PR:L, mas a manchete 'privilege escalation' pode sugerir erroneamente que basta qualquer conta autenticada. Sem netadmin, a superfície de exploração não se abre pelas vias documentadas pela Cisco.

Para explorar, o atacante precisa de uma sessão autenticada com privilégios netadmin no Controller/Manager/Validator. Isso pode vir de credenciais válidas (roubadas, reutilizadas ou obtidas por engenharia social) ou de encadeamento com outra vulnerabilidade que concede esse nível de acesso — a Cisco cita explicitamente CVE-2026-20182 (bypass de autenticação no peering, CVSS 10.0, não autenticado e remoto, que permite logar como conta interna de alto privilégio) e CVE-2026-20127 como caminhos conhecidos para obter netadmin sem credenciais legítimas. A Cisco afirma não ter conhecimento de exploração bem-sucedida por outras vias.

Com netadmin em mãos, o ataque consiste em enviar via CLI um arquivo craftado (por exemplo, um CSV malformado no fluxo de upload de lista de tenants ou de números de série) que, ao ser processado pelo script interno, escapa do contexto esperado e injeta comandos executados como root — resultando em controle total do componente de controle SD-WAN (Controller/Manager/Validator).

A Cisco documentou casos reais e limitados em que a exploração resultou em alteração de configuração empurrada para dispositivos de borda (edge devices), confirmando impacto que vai além do componente de controle isolado e pode se propagar para o fabric gerenciado. A presença no catálogo KEV da CISA (adicionada em 09/06/2026, prazo de correção 23/06/2026) e a existência de PoC pública elevam a prioridade de correção mesmo com o pré-requisito de acesso netadmin, especialmente em ambientes onde CVE-2026-20182 também não foi corrigida.

A Cisco não oferece workaround para esta CVE — a única remediação completa é atualizar para o software corrigido. O advisory oficial remete à seção 'Fixed Software' do próprio comunicado (cisco-sa-sdwan-privesc-4uxFrdzx) para a lista de releases corrigidas por linha de produto; os trechos capturados desta pesquisa não continham os números de versão exatos, então não devem ser assumidos — consulte diretamente essa seção do advisory antes de planejar o upgrade.

Antes de atualizar, a Cisco recomenda coletar 'admin-tech' de cada componente de controle SD-WAN (Controller, Manager, Validator) para preservar evidências de possível comprometimento, e reter logs relevantes. Depois do upgrade, é obrigatório verificar indicadores de comprometimento nos logs — aplicar apenas o patch não remedia um sistema já comprometido; nesse caso, é necessário abrir caso com o TAC da Cisco para remediação específica.

A Cisco publicou um 'Live Protect shield' como proteção temporária e parcial enquanto o upgrade é planejado — mas ele tem custo real: quebra operações de disaster recovery já em andamento e impede a criação/expansão de clusters de SD-WAN Manager após seu deployment. Não é substituto do patch, apenas ganha tempo. Como a falha independe de configuração específica do dispositivo, desabilitar features não é mitigação eficaz; o controle real é reduzir quem tem privilégio netadmin e corrigir separadamente CVE-2026-20182 (bypass de autenticação), que é a via mais provável de um atacante remoto chegar a esse privilégio sem credenciais.

Auditar o arquivo /var/log/scripts.log em busca de execuções dos scripts vconfd_script_upload_tenant_list.sh, vconfd_script_upload_vsmart_serial_numbers.sh e vconfd_script_upload_chassis_number_file.sh, especialmente com parâmetro '-cli path' apontando para arquivos fora do padrão esperado (nomes suspeitos, caminhos incomuns como /home/admin/*.csv fora de fluxo administrativo conhecido). A própria Cisco alerta que esses comandos também ocorrem em operação legítima — os logs não distinguem uso malicioso de legítimo, exigindo correlação com quem estava autenticado, horário e contexto operacional para evitar falso positivo.

Como o pré-requisito mais provável de exploração remota é o encadeamento com CVE-2026-20182, vale cruzar também o /var/log/auth.log por entradas 'Accepted publickey for vmanage-admin' originadas de IPs não presentes na lista de System IPs cadastrados (WebUI > Devices > System IP) — indício de bypass de autenticação que precede a escalada via esta CVE. Coletar 'admin-tech' de cada componente antes de qualquer upgrade preserva essas evidências para análise pelo TAC.