CVE-2026-20079-checker

Vérificateur Python en lecture seule qui valide le comportement de contournement d'authentification de CVE-2026-20079 sur Cisco FMC en comparant les réponses de session non authentifiées et csm_processes.

Un résultat négatif ne prouve pas que l'appliance est corrigée.

Le contournement documenté nécessite que la session csm_processes créée au démarrage reste dans la base de données de sessions de l'appliance. L'activité authentifiée du tableau de bord/des widgets, l'activité de l'interface gérée par le cloud et le nettoyage déclenché par l'authentification peuvent la supprimer. Une fois supprimée, ce contournement ne peut plus utiliser cette session ; un redémarrage ultérieur peut la recréer sur une appliance affectée. Cela n'établit pas que chaque connexion réussie désactive immédiatement le contournement. Voir l'analyse des prérequis de VulnCheck.

État préféré pour une validation contrôlée en laboratoire : tester une appliance récemment redémarrée dès que son interface web est disponible, avant que tout utilisateur ne s'authentifie ou n'interagisse avec l'interface web. Cette recommandation découle des prérequis de session publiés : elle augmente la probabilité que la session créée au démarrage existe encore, mais ne garantit pas un résultat positif.

Distinguez l'état de test du résultat : une appliance récemment redémarrée offre une meilleure opportunité d'observer ce comportement ; un résultat négatif après connexion ou nettoyage de session n'établit pas que l'appliance est corrigée. Même un résultat négatif immédiatement après un redémarrage n'est pas une preuve du statut de correctif.

Par exemple, un utilisateur s'authentifie et l'activité de l'interface efface la session. Si le vérificateur reçoit alors une redirection ou un HTTP 401/403, il rapporte NOT_CONFIRMED : négatif pour le comportement observé, potentiellement un faux négatif pour l'exposition à la vulnérabilité. L'authentification n'est pas un correctif.

Le vérificateur ne peut pas observer l'historique des connexions ni la base de données de sessions. Il classe la réponse HTTP, donc une authentification antérieure seule ne constitue pas un motif pour forcer un résultat négatif. Les autres réponses inattendues restent INCONCLUSIVE, et les échecs de requête restent ERROR.

Utilisez l'avis de Cisco et le Software Checker pour déterminer l'exposition aux correctifs.

Propriétés de sécurité

La version publique n'a intentionnellement aucune fonctionnalité pour :

• l'authentification de compte machine
• la mise à niveau de session/contexte d'application
• le fuzzing de point de terminaison arbitraire
• l'écriture de fichier arbitraire
• l'exécution de script ou de commande
• les shells inverses/bind
• l'expansion CIDR
• la découverte à l'échelle d'Internet
• l'acquisition de cibles de type Shodan/Censys

Seules les adresses IP littérales fournies par l'opérateur sont acceptées.

Les IP publiques nécessitent le flag explicite --allow-public.

Prérequis

• Python 3.9+
• requests

Installation :

Cible unique

IP privée/laboratoire :

IP publique que vous êtes autorisé à évaluer :

Liste de cibles

Créez targets.txt :

Exécutez :

Pour une liste autorisée contenant des IP publiques :

L'outil n'accepte intentionnellement pas les plages CIDR.

Signification des résultats

Les scans d'un seul hôte affichent un bloc détaillé. Exemple de sortie utilisant l'appliance de laboratoire documentée (FMC 7.4.2 Build 172) et la cible d'exemple 192.168.1.100 :

Les scans utilisant --targets FILE affichent un tableau compact avec les colonnes TARGET, RESULT, VERSION, BASE et PROBE, suivi d'un résumé. Les détails manquants apparaissent sous la forme not observed dans la vue détaillée ou - dans le tableau. Les libellés de produit et de contexte de session sont informatifs ; ils ne modifient pas les critères de détection. JSON/CSV conservent tous les champs existants et ajoutent product et session_context. Ni un résultat négatif ni des métadonnées manquantes n'établissent le statut de correctif.

Codes de sortie :

• 0 — aucun résultat confirmé
• 1 — toutes les vérifications ont échoué avec des erreurs de requête
• 2 — au moins un résultat confirmé
• 64 — cible publique fournie sans --allow-public

Le code de sortie 0 signifie aucun résultat confirmé, y compris les exécutions avec des résultats non concluants ou un mélange d'erreurs de requête et de résultats non confirmés. Ce n'est pas un verdict sur le statut de correctif. De même, vulnerable_behavior: false dans un export signifie que les critères de confirmation n'ont pas été satisfaits.

Validation en laboratoire

Pendant le développement, le comportement en lecture seule a été reproduit contre :

Le but de documenter cette observation est la reproductibilité ; ce n'est pas un substitut aux informations faisant autorité de Cisco sur les versions vulnérables/corrigées.

Voir docs/LAB-NOTES.md.

Remédiation

Cisco classe CVE-2026-20079 Critique (CVSS 10.0) et indique qu'une exploitation réussie peut entraîner un accès root. Cisco a publié des correctifs/hot fixes et signale une exploitation active en août 2026.

Suivez l'avis actuel de Cisco et le Software Checker plutôt que de vous fier uniquement à ce scanner.

Références

• Avis de sécurité Cisco : https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-onprem-fmc-authbypass-5JPp45V2
• Recherche VulnCheck : https://www.vulncheck.io/blog/cisco-fmc-auth-bypass-cve-2026-20079

Utilisation responsable

N'exécutez cet utilitaire que contre des systèmes que vous possédez ou pour lesquels vous disposez d'une autorisation explicite d'évaluation.

Les tests de sécurité réseau peuvent déclencher des contrôles de surveillance, des limites de débit, des processus de réponse aux incidents ou des systèmes d'abus de fournisseur de services, même lorsque les requêtes sont en lecture seule.

Licence

MIT. Voir LICENSE.