Cisco ha corretto una vulnerabilità di directory traversal in Identity Services Engine, rivelata pubblicamente il 15 luglio 2026 dopo quasi sei mesi di disclosure coordinata con Trend Micro Zero Day Initiative. La falla, tracciata come CVE-2026-20146 e pubblicata nell'advisory ZDI-26-421, consente a un attaccante remoto autenticato di leggere file al di fuori delle directory previste sfruttando un difetto nel metodo validFileNameOrPath. Il punteggio CVSS è 5.5, media gravità, ma il contesto di Cisco ISE — piattaforma centrale per network access control e identity management in grandi infrastrutture — rende la superficie di attacco più ampia di quanto il numero suggerisca.
- CVE-2026-20146 è una vulnerabilità di directory traversal nel metodo validFileNameOrPath di Cisco Identity Services Engine, con CVSS 5.5 secondo l'advisory ZDI.
- L'exploit richiede autenticazione: l'attaccante agisce nel contesto dell'utente di servizio iseadminportal.
- Cisco ha rilasciato un aggiornamento correttivo; la divulgazione pubblica è avvenuta il 15 luglio 2026, a 189 giorni dalla segnalazione iniziale del 8 gennaio 2026.
- Il dossier non specifica versioni affette, endpoint esposti o se la vulnerabilità sia stata sfruttata attivamente.
Come funziona il difetto nel metodo validFileNameOrPath
La falla risiede nell'implementazione del metodo validFileNameOrPath di Cisco ISE. Secondo l'advisory ZDI-26-421, il metodo non valida correttamente un percorso fornito dall'utente prima di utilizzarlo in operazioni su file. La mancata sanificazione permette di inserire sequenze di directory traversal — tipicamente costruzioni con ../ o equivalenti — che spostano il punto di lettura al di fuori della directory destinata. L'attaccante autenticato ottiene così accesso a file del sistema operativo sottostante nell'ambito dell'utente iseadminportal.
"The specific flaw exists within the implementation of the validFileNameOrPath method. The issue results from the lack of proper validation of a user-supplied path prior to using it in file operations." — Advisory ZDI-26-421
Il contesto di esecuzione è rilevante: iseadminportal è un utente di servizio legato al portale amministrativo di ISE, non un utente generico. Il dossier non chiarisce il livello di privilegi di questo account nel sistema operativo sottostante, né quali directory siano effettivamente raggiungibili. L'impatto documentato è limitato all'information disclosure: l'advisory non indica possibilità di scrittura, esecuzione codice o escalation locale.
Perché un CVSS 5.5 su un sistema di identità non è trascurabile
Il vettore CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:L/A:N conferma la natura autenticata: il punteggio 5.5 deriva in buona parte dal prerequisito di privilegi elevati (PR:H). In un'architettura NAC/AAA, tuttavia, account con accesso amministrativo a ISE sono molteplici: operatori di rete, team security, integratori, account di servizio per automazione. Un account compromesso — tramite phishing, credential stuffing o insider threat — fornisce il requisito di autenticazione senza ulteriore barriera.
Cisco ISE gestisce policy di accesso, profiling dispositivi, integrazione con Active Directory e distribuzione certificati. La lettura non autorizzata di file di configurazione, log o dati di policy potrebbe facilitare ricognizione interna e movimento laterale in ambienti dove ISE è il fulcro della segmentazione di rete. Il dossier non specifica quali file siano effettivamente accessibili, ma la struttura di ISE include repository di certificati, database interni e file di policy che rappresentano obiettivi di interesse per un attaccante già all'interno del perimetro.
Timeline e processo di disclosure
La vulnerabilità è stata segnalata a Cisco l'8 gennaio 2026. La divulgazione coordinata pubblica è avvenuta il 15 luglio 2026, intervallo di 189 giorni. Durante questo periodo Cisco ha sviluppato e rilasciato una patch, sebbene l'advisory ZDI non specifichi l'identificativo dell'aggiornamento Cisco o il link diretto alla documentazione del vendor. La fonte indica genericamente che "Cisco has issued an update to correct this vulnerability".
La pubblicazione nella lista "published" di ZDI — con riferimento ZDI-CAN-28724 — conferma la coerenza dei dati: CVE-2026-20146, CVSS 5.5, data 15 luglio 2026. Il record CVE esiste ed è validato da cve.org, ma il contenuto testuale non è stato estratto nel dossier: serve come conferma identificativa, non come fonte di dettagli tecnici aggiuntivi.
Perché è importante
Il dossier non documenta misure correttive specifiche né una procedura di verifica per determinare se un'installazione sia affetta. Non emergono evidenze di sfruttamento attivo in the wild, ma l'assenza di questa informazione non equivale a negazione. Il vettore di attacco esatto — endpoint API, metodo HTTP, parametri richiesta — non è dettagliato nell'advisory pubblico, rendendo impossibile una valutazione puntuale della superficie esposta senza accesso alla patch o alla documentazione Cisco.
La fonte non specifica la natura dei dati leggibili né se iseadminportal possa accedere a credenziali, chiavi o certificati. Questo limite è significativo: in un sistema di gestione identità, la compromissione di materiali crittografici o di configurazione autenticazione rappresenterebbe un impatto moltiplicatore rispetto alla semplice lettura di file generici. La lettura redazionale è che la gravità effettiva dipende dall'assetto di deployment: organizzazioni con ISE in posizione critica e account amministrativi condivisi o debolmente protetti affrontano un rischio sostanzialmente superiore al punteggio CVSS isolato.
L'advisory non elenca versioni specifiche affette. Gli amministratori devono riferirsi alla documentazione di aggiornamento Cisco per determinare lo stato della propria installazione. Il brief non fornisce indicazioni operative su come verificare la presenza della falla o come priorizzare l'applicazione della patch in ambienti eterogenei.
Le informazioni sono basate sulla fonte citata e aggiornate al momento della pubblicazione.
Fonti
- http://www.zerodayinitiative.com/advisories/ZDI-26-421/
- http://www.zerodayinitiative.com/advisories/published/
- https://www.cve.org/CVERecord?id=CVE-2026-20146
- http://www.zerodayinitiative.com/advisories/upcoming/