dinosn/cve-2026-76466CVE-2026-76466에 대한 Python 익스플로잇 및 플릿 탐지기로, TCP/4372에서 하드코딩된 Erlang 분산 자격 증명을 통해 클러스터링된 Cisco Expressway의 인증되지 않은 루트 RCE입니다.
클러스터링된 Cisco Expressway의 Erlang 분배 포트(TCP/4372)에 접근할 수 있는
인증되지 않은 원격 공격자는 벤더가 정의한 유지보수 ID와 그에 연관된 영구
쿠키를 사용하여 루트 권한으로 임의의 운영체제 명령을 실행할 수 있습니다.
이 두 값은 모두 제품의 클러스터 관리자 모듈(cm_server)에 하드코딩되어
있습니다.
| 필드 | 값 |
|---|---|
| CVE | CVE-2026-76466 |
| CVSS | 9.8 Critical |
| CWE | CWE-798 (하드코딩된 자격 증명 사용) |
| 게시일 | 2026-10-21 |
| 수정 버전 | X15.5.20 |
| 우회 방법 | 없음 (Cisco 권고 기준) |
Cisco Expressway는 클러스터 데이터베이스 서비스에 Erlang/OTP를 사용합니다. 두 개 이상의 Expressway 노드가 클러스터로 구성되면, 각 노드는 TLS로 보호된 TCP 포트 4372에서 Erlang 분배 리스너를 실행합니다. Erlang 분배 세션은 공유 "쿠키"를 통해 인증됩니다. 공격자가 쿠키를 알고 해당 포트에 접근할 수 있다면 분배 메시에 참여하여 원격 노드에서 임의의 함수 호출을 실행할 수 있으며, 이는 루트 권한으로 실행됩니다.
Expressway의 클러스터 관리자 모듈(cm_server)에는 하드코딩된 유지보수
노드 ID를 구성된 클러스터 피어와 함께 허용 노드 집합에 추가하는 함수가
포함되어 있습니다. 이 ID는 레거시 TANDBERG 접두사 wombat@를 사용합니다.
동시에 일치하는 하드코딩된 쿠키도 설치됩니다. 두 값 모두 컴파일된 Erlang
모듈에 내장되어 있으므로, 영향을 받는 릴리스의 모든 설치에서 동일합니다.
TLS Permissive 모드(공장 기본값)에서는 서버가 클라이언트 인증서를 검증하지 않으므로, 유지보수 ID와 쿠키를 아는 모든 네트워크 클라이언트가 분배 핸드셰이크를 완료하고 RPC 호출을 실행할 수 있습니다.
TLS 1.3 connect to target:4372
→ Erlang dist handshake with node name "[email protected]"
→ cm_server admits the identity (add_allowed_wombat_node)
→ challenge-response with cookie "wombat"
→ distribution session established (ping = pong)
→ rpc:call(Target, os, cmd, ["id -u"]) → 0
Cisco 권고 기준:
포함된 exploit/cve_2026_76466.py --mode ping을 사용하여 대상이 유지보수
ID를 허용하는지 확인할 수 있습니다. 이는 인증만 수행하며 명령 실행은 하지
않습니다.
대규모 진단의 경우:
--mode ping 검사 실행Cisco는 우회 방법이 없다고 밝혔습니다. 업그레이드가 해결 방안입니다:
업그레이드가 완료될 때까지 TCP/4371–4372를 승인된 클러스터 피어로 제한하고, 피어가 아닌 주소에서의 연결에 대해 경보를 설정하십시오.
런타임 검증은 다음에서 수행되었습니다:
id -u가 0(루트)을 반환함테스트하지 않은 항목:
이 도구는 승인된 보안 테스트 전용입니다. 관리자는 오용에 대해 책임지지 않습니다. 소유하지 않은 시스템을 테스트하기 전에 항상 서면 허가를 받으십시오.