📋 Visão Geral

CVE-2026-20079 é uma vulnerabilidade crítica na interface web do software Cisco Secure Firewall Management Center (FMC).

Um atacante remoto não autenticado pode contornar a autenticação e executar scripts arbitrários com privilégios de root no sistema operacional subjacente.

• ID CVE: CVE-2026-20079
• CWE: CWE-288 (Bypass de Autenticação Usando um Caminho ou Canal Alternativo)
• Pontuação Base CVSS v3.1: 10.0 (Crítico)
• Vetor: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

Causa Raiz: Um processo de sistema inadequado criado na inicialização que permite que requisições HTTP maliciosas contornem a autenticação.

---

🛠️ Impacto

• Exploração remota não autenticada
• Acesso root completo ao appliance FMC
• Capacidade de executar scripts e comandos arbitrários
• Potencial comprometimento de dispositivos Firewall Threat Defense (FTD) gerenciados (Escopo: Alterado)
• Perda completa de confidencialidade, integridade e disponibilidade

Esta vulnerabilidade afeta o plano de gerenciamento da infraestrutura de firewall on-premises da Cisco, tornando-a extremamente perigosa em ambientes de produção.

---

🔍 Produtos Afetados

Vulneráveis:

• Cisco Secure Firewall Management Center (on-premises) versões:
  • 7.0.x (todos)
  • 7.1.x (todos)
  • 7.2.0 – 7.2.10.2
  • 7.3.0 – 7.3.1.2
  • 7.4.0 – 7.4.3
  • 7.6.0 – 7.6.3
  • 7.7.0 – 7.7.11

Não Afetados:

• FMC Entregue pela Nuvem (cdFMC)
• Cisco Secure Firewall ASA Software
• Dispositivos Cisco Secure Firewall Threat Defense (FTD) (quando não gerenciados por um FMC vulnerável)

---

✅ Versões Corrigidas

A Cisco lançou patches. Consulte o comunicado oficial para as versões corrigidas exatas por ramo.

Recomendação: Atualize para a versão corrigida mais recente o mais rápido possível.

---

⚠️ Detalhes da Exploração

Os atacantes podem explorar esta vulnerabilidade enviando requisições HTTP especialmente criadas para a interface web do FMC. A falha decorre de um processo de inicialização mal configurado que cria um caminho de autenticação alternativo, permitindo a execução não autenticada de scripts como root.

Exploits públicos de Prova de Conceito (PoC) surgiram pouco após a divulgação.

---

🛡️ Mitigação

1. Ação Imediata: Aplique o patch de segurança fornecido pela Cisco.
2. Não há soluções alternativas oficiais disponíveis — a aplicação do patch é a única correção.
3. Restrinja o acesso à interface de gerenciamento do FMC (use regras de firewall, VPN ou segmentação de confiança zero).
4. Monitore o tráfego HTTP suspeito direcionado à interface web do FMC.
5. Use a ferramenta Software Checker da Cisco para verificar sua versão.

Comunicado Oficial de Segurança da Cisco: https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-onprem-fmc-authbypass-5JPp45V2

---

📚 Referências

• Página de Detalhes do NVD
• Comunicado Oficial da Cisco
• Vulnerabilidade Relacionada: CVE-2026-20131 (Outro RCE crítico no mesmo produto)

---

📝 Notas

• Este repositório é apenas para fins de documentação, pesquisa e defesa.
• A exploração com intenção maliciosa é ilegal e fortemente desencorajada.
• Sempre siga práticas de divulgação responsável.