📋 Panoramica

CVE-2026-20079 è una vulnerabilità critica nell'interfaccia web del software Cisco Secure Firewall Management Center (FMC).

Un attaccante remoto non autenticato può bypassare l'autenticazione ed eseguire script arbitrari con privilegi di root sul sistema operativo sottostante.

• ID CVE: CVE-2026-20079
• CWE: CWE-288 (Bypass dell'autenticazione tramite percorso o canale alternativo)
• Punteggio base CVSS v3.1: 10.0 (Critico)
• Vettore: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

Causa principale: un processo di sistema non corretto creato all'avvio che consente a richieste HTTP appositamente create di bypassare l'autenticazione.

---

🛠️ Impatto

• Sfruttamento remoto non autenticato
• Accesso root completo all'appliance FMC
• Capacità di eseguire script e comandi arbitrari
• Possibile compromissione dei dispositivi Firewall Threat Defense (FTD) gestiti (Scope: Changed)
• Perdita totale di riservatezza, integrità e disponibilità

Questa vulnerabilità interessa il piano di gestione dell'infrastruttura firewall on-premises di Cisco, rendendola estremamente pericolosa in ambienti di produzione.

---

🔍 Prodotti Interessati

Vulnerabili:

• Versioni di Cisco Secure Firewall Management Center (on-premises):
  • 7.0.x (tutte)
  • 7.1.x (tutte)
  • 7.2.0 – 7.2.10.2
  • 7.3.0 – 7.3.1.2
  • 7.4.0 – 7.4.3
  • 7.6.0 – 7.6.3
  • 7.7.0 – 7.7.11

Non Vulnerabili:

• Cloud-Delivered FMC (cdFMC)
• Cisco Secure Firewall ASA Software
• Dispositivi Cisco Secure Firewall Threat Defense (FTD) (quando non gestiti da un FMC vulnerabile)

---

✅ Versioni Corrette

Cisco ha rilasciato patch. Fare riferimento all'advisory ufficiale per le versioni corrette esatte per ciascun ramo.

Raccomandazione: aggiornare all'ultima versione corretta il prima possibile.

---

⚠️ Dettagli dello Sfruttamento

Gli attaccanti possono sfruttare questa vulnerabilità inviando richieste HTTP appositamente create all'interfaccia web FMC. Il difetto deriva da un processo di avvio configurato in modo errato che crea un percorso di autenticazione alternativo, consentendo l'esecuzione non autenticata di script come root.

Proof-of-Concept (PoC) pubblici sono emersi poco dopo la divulgazione.

---

🛡️ Mitigazione

1. Azione immediata: applicare la patch di sicurezza fornita da Cisco.
2. Non sono disponibili workaround ufficiali: la patch è l'unica soluzione.
3. Limitare l'accesso all'interfaccia di gestione FMC (utilizzare regole firewall, VPN o segmentazione zero-trust).
4. Monitorare il traffico HTTP sospetto diretto all'interfaccia web FMC.
5. Utilizzare lo strumento Software Checker di Cisco per verificare la propria versione.

Advisory ufficiale Cisco: https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-onprem-fmc-authbypass-5JPp45V2

---

📚 Riferimenti

• Pagina dei dettagli NVD
• Advisory ufficiale Cisco
• Vulnerabilità correlata: CVE-2026-20131 (Un'altra RCE critica nello stesso prodotto)

---

📝 Note

• Questo repository è solo a scopo di documentazione, ricerca e difesa.
• Lo sfruttamento con intenti maliziosi è illegale e fortemente sconsigliato.
• Seguire sempre le pratiche di responsible disclosure.