Cisco ISE zafiyeti CVE-2026-20241, kimlik doğrulaması yapılmayan saldırganların uç nokta sertifikaları edinmesine izin veriyor

Cisco ne açıkladı

4 Kasım 2026'da Cisco, Identity Services Engine (ISE) ve Passive Identity Connector (ISE-PIC) ürünlerini etkileyen bir yetkilendirme atlama zafiyetini açıklayan bir danışma belgesi yayınladı. Zafiyet CVE-2026-20241 olarak takip ediliyor ve 5.3 CVSS temel puanına sahip. Danışma belgesinin dev.to'daki analizine göre, kimlik doğrulaması yapılmayan uzaktan bir saldırgan, normal yetkilendirme kontrollerinden geçmeden bu açığı kullanarak bir uç nokta kimlik sertifikası edinebilir.

Danışma belgesi zafiyetli kod yolunu açıklamıyor ve hiçbir geçici çözüm listelemiyor; bu nedenle tek çare, belgede adı geçen düzeltilmiş Cisco sürümüne yükseltme yapmak. dev.to makalesi, yöneticileri bu bilgi boşluğunu söz konusu olan belirli istek veya API hakkında varsayımlarla doldurmamaları konusunda uyarıyor; doğrulanmış gerçek, güvenlik sonucunun kendisi, yani amaçlanan yetkilendirme sürecinin dışında düzenlenmiş bir uç nokta sertifikasıdır.

Bir sertifika neden bir dosyadan fazlasıdır

Gerçek dünyadaki etki, bir dağıtımın sertifikaları nasıl kullandığına bağlıdır. dev.to'nun açıkladığı gibi, bir uç nokta kimlik sertifikası EAP-TLS kimlik doğrulamasını, cihaz provizyonunu veya sertifika tabanlı yetkilendirmeyi destekleyebilir. Bir saldırgan için değeri, ağın hangi sertifika otoritelerine güvendiğine, sertifikaya gömülü kimlik alanlarına, sertifika profiline ve bu alanları ağ erişimine çeviren politikalara göre belirlenir.

Önemsiz bir kimliğe bağlı bir sertifika çok az kapı açabilirken, yaygın olarak güvenilen bir uç nokta CA'sına zincirlenen ve kullanılabilir bir kimlik taşıyan bir sertifika çok daha tehlikeli olabilir. Sertifikalar tasarım gereği uzun ömürlü olduğundan, hatalı düzenlenmiş bir sertifika kalıcı bir kimlik bilgisi olarak işlev görebilir. İptal (revocation) yalnızca her doğrulayıcı bunu kontrol ettiğinde ve sertifika gerçekten iptal edildiğinde hasarı sınırlar; zayıf düzenleme kayıtları da bu sınırlamayı zorlaştırır.

Makalenin önerdiği adımlar

dev.to yazısı pratik bir yanıt planı ortaya koyuyor:

Uç nokta kimlikleri üretebilen her CA ve ara otoriteyi kapsayan bir düzenleme envanteri oluşturun; kimsenin kaldırmadığı, geçişlerden kalan test CA'ları dahil. Her otoritenin sahibini, geçerlilik süresini, imza algoritmalarını, güven depolarını ve iptal yöntemini kaydedin.

Switch'ler, kablosuz denetleyiciler, VPN konsantratörleri ve misafir portalları genelinde uç nokta sertifikalarını kabul eden her politikayı haritalayın ve bir test veya eski CA'dan gelen bir sertifikanın üretim karar yoluna giremeyeceğini doğrulayın.

Sertifika şablonlarını gözden geçirin; böylece subject ve SAN alanları istek sahibinin serbestçe sağladığı değerlerden değil, yetkili bir kaynaktan üretilsin. Yetkilendirme kararlarında kullanılan alanların dar ve iyi tanımlanmış anlamları olmalı.

Beklenmedik bir düzenlemenin nasıl olay haline geldiğini tanımlayın: ISE denetim günlüklerini CA düzenleme günlükleriyle seri numarası ve istek kimliği üzerinden birleştirin ve şüpheli bir sertifikayı iptal etme, özel anahtarını uç noktalardan kaldırma ve onunla yapılan kimlik doğrulamalarını arama yolunu belgeleyin.

Makaleye göre doğrulama, satıcı konsolunun ötesine de uzanmalı. Nitelik kazanması gereken bir hesap ve cihaz durumundan kayıt (enrollment) deneyin, isteğin başarısız olduğunu ve günlüğe kaydedildiğini doğrulayın ve CA veritabanına hiçbir sertifika düşmediğini kontrol edin. Ardından iptal edilmiş bir sertifikanın hiçbir yere bağlanamadığını ve yanıtlayıcı erişilemez olduğunda iptal kontrollerinin sessizce bağlantıları kabul etmeye geri dönmediğini test edin. Eşleşen bir kayıt olmayan kayıtlar, olağandışı kaynak adresler veya tek bir kullanıcıdan gelen istek patlamalarını izlemek, bu sinyaller tek başına sömürü kanıtı olmasa bile müdahale edenlere bir başlangıç noktası verir.

Önce yamayın, sonra geriye bakın

Geçici çözüm bulunmadığından satıcı düzeltmesi birincil denetimdir; dolayısıyla makale, bunu onaylı bir değişiklik penceresi sırasında uygulamayı ve gözden kaçması kolay olan dağıtık dağıtımlar ve ISE-PIC örnekleri dahil her düğümde çalışan sürümü doğrulamayı öneriyor.

Yamalama, zafiyet varken düzenlenen sertifikaları geriye dönük olarak geçersiz kılmaz. Bu nedenle yöneticiler, maruz kalma penceresindeki düzenlemeleri gözden geçirmeli; yönetim ağlarına, VPN ağ geçitlerine ve kablosuz denetleyicilere erişebilen kimliklere öncelik vermeli ve yetkilendirmesi olmayanları bulmak için CA ve ISE kayıtlarını onaylı isteklerle karşılaştırmalıdır. Kanıtlar kötüye kullanıma işaret ediyorsa, iptal, yeniden kayıt ve güven deposu temizliği yan seçenekler değil, yanıtın bir parçası haline gelir.

Neden önemli

ISE, cihaz kimliğinin ağ erişimine dönüştüğü kavşakta yer alıyor ve bu zafiyet fiilen bir dışarıdan gelenin, diğer sistemlerin güvenmeye yapılandırıldığı bir kimlik bilgisi üretmesine izin veriyor. Orta düzey 5.3 puanı, sertifika tabanlı erişime ağır basan şekilde güvenen ağlardaki olası etki yarıçapını küçümser. Kullanılabilir bir geçici çözüm olmadığından, yükleme hızı yöneticilerin kontrol ettiği ana değişkendir ve yamadan önce düzenlenen sertifikaların denetimi, maruziyetin yazılım düzeltildiğinde mi sona erdiğini yoksa bu kimlik bilgilerinin ömrü boyunca mı sürdüğünü belirler. dev.to'nun ifade ettiği gibi daha geniş ders, bir kimlik sağlayıcısının sertifika düzenleme mekanizmasına, çıktısı diğer sistemlerin kabul edeceği bir yetkilendirme talebi olan ayrıcalıklı bir kontrol düzlemi olarak davranmaktır.