Alerta de Vulnerabilidade - Cisco Secure Firewall Management Center

Vulnerabilidade de bypass de autenticação usando um caminho alternativo (CWE-288) na interface web do Cisco Secure Firewall Management Center (FMC), com o identificador CVE-2026-20079/EUVD-2026-9438 [1][2]. A vulnerabilidade resulta de um processo de sistema criado incorretamente no arranque do equipamento, que permite a um atacante remoto não autenticado contornar a autenticação enviando pedidos HTTP especialmente construídos [1].

São afetadas as releases do Secure FMC desde a 7.0.0 até à 10.0.1, independentemente da configuração do equipamento, bem como o Cisco Security Cloud Control (SCC) Firewall Management [1][2]. O SCC Firewall Management é um serviço SaaS já atualizado pela Cisco, não exigindo ação do cliente. Não são afetados o Firewall Device Manager (FDM), o Secure Firewall ASA, o Secure Firewall Threat Defense (FTD) nem o Security Cloud Control [1].

A correção está disponível através de hot fixes para as releases 7.0, 7.2, 7.4, 7.6, 7.7 e 10.0 do Secure FMC. Não existem workarounds [1].

A exploração é remota e não requer autenticação, privilégios nem interação do utilizador. O atacante executa scripts e comandos com privilégios de root no sistema operativo subjacente, obtendo o controlo total do equipamento [1].

O FMC é a consola de gestão centralizada da infraestrutura de firewalls Cisco Secure Firewall, pelo que o seu comprometimento permite ao atacante alterar as políticas de segurança, desativar proteções e utilizar o equipamento como ponto de apoio para as redes que essas firewalls protegem [1].

Recomenda-se a aplicação imediata do hot fix correspondente à release instalada, disponível no Cisco Software Center [1]:

• Secure FMC 7.0: Cisco_Firepower_Mgmt_Center_Hotfix_GB-7.0.9.1-3.sh.REL.tar
• Secure FMC 7.2: Cisco_Secure_FW_Mgmt_Center_Hotfix_HL-7.2.11.1-4.sh.REL.tar
• Secure FMC 7.4: Cisco_Secure_FW_Mgmt_Center_Hotfix_HG-7.4.7.1-3.sh.REL.tar
• Secure FMC 7.6: Cisco_Secure_FW_Mgmt_Center_Hotfix_CY-7.6.5.1-2.sh.REL.tar
• Secure FMC 7.7: Cisco_Secure_FW_Mgmt_Center_Hotfix_AM-7.7.12.1-2.sh.REL.tar
• Secure FMC 10.0: Cisco_Secure_FW_Mgmt_Center_Hotfix_P-10.0.1.1-2.sh.REL.tar

Medidas adicionais recomendadas:

• Verificar indícios de exploração antes de qualquer outra ação, executando em modo expert o comando zgrep "package_info.*license" /var/log/messages*. Se o resultado do comando incluir uma referência a /var/tmp/license.tmp, o equipamento pode ter sido explorado [1];
• Os hot fixes previnem exploração futura mas podem não resolver um comprometimento já existente. Havendo indícios de exploração, contactar de imediato o Cisco TAC para apoio na recuperação, antes de prosseguir [1];
• Manter a interface de gestão do FMC inacessível a partir da Internet. Esta medida reduz a superfície de ataque mas não corrige a vulnerabilidade [1];
• Utilizar as regras Snort 66075 a 66080 para deteção de tentativas de exploração [1];
• A Cisco prevê disponibilizar uma hardening release que reúne estes hot fixes e outras correções, pelo que se recomenda acompanhar o advisory. A aplicação dos hot fixes não deve aguardar por essa release [3].