Według komunikatu Cisco z 15 kwietnia podatności CVE-2026-20180 i CVE-2026-20186 w ISE pozwalają na eskalację uprawnień do root, a do ataku wystarczy co najmniej konto Read Only Admin. Polska firma używająca tego systemu kontroli dostępu powinna więc połączyć aktualizację z przeglądem kont administratorów i planem przywrócenia dostępu do sieci.

Czy konto opisane jako „tylko do odczytu” można pominąć przy przeglądzie bezpieczeństwa ISE? Odpowiedź „przecież niczego nim nie zmienimy” brzmi uspokajająco, ale zestawmy ją z warunkiem ataku, który podaje Cisco. Przy ocenie takiego konta proponujemy sprawdzić osobno jego przewidziane zastosowanie oraz znaczenie dla scenariusza wykorzystania podatności. Jeśli firmowy przegląd obejmuje wyłącznie konta z prawem zmiany ustawień, poszerzmy go o Read Only Admin. To pytanie kontrolne dla odbiorcy komunikatu, a nie opis zaniedbania w konkretnej organizacji. Z samej informacji o podatnościach nie ustalimy przecież, kto ma dostęp do firmowego ISE ani kiedy ostatnio sprawdzano zasadność tego dostępu.

Read Only Admin jest warunkiem wejścia, root możliwym skutkiem

W opisie CVE-2026-20180 i CVE-2026-20186 trzeba zachować rozróżnienie między uprawnieniami potrzebnymi przed atakiem a tymi, które można uzyskać po jego powodzeniu. Według Cisco PSIRT punktem wyjścia jest co najmniej Read Only Admin; możliwym skutkiem jest eskalacja do root. Określenie „tylko do odczytu” nie wystarcza więc jako argument za pominięciem konta w ocenie tych podatności.

Przegląd ISE zacznijmy od pytania o konta spełniające wskazany warunek. Ustalmy, komu służą, kto odpowiada za ich utrzymanie i czy nadal są potrzebne. Nie zakładajmy przy tym, że samo istnienie takiego konta oznacza wykorzystanie podatności. Komunikat o możliwej eskalacji uzasadnia weryfikację dostępu; nie daje podstaw do przypisania któremukolwiek administratorowi udziału w ataku. W rozmowie z zespołem utrzymajmy tę różnicę między opisem możliwości a ustaleniem, co wydarzyło się we własnej instalacji.

Konto Read Only Admin w ISE powinno mieć właściciela i podlegać przeglądowi także wtedy, gdy jego zadaniem jest wyłącznie odczyt.

Przegląd kont powinien objąć zakres pomijany przez procedurę

Nie wiemy, jak polskie firmy opisują w swoich procedurach konta Read Only Admin. Możemy jednak zaproponować konkretną kontrolę: zestawić listę kont ISE z zakresem ostatniego przeglądu uprawnień. Jeśli przegląd pominął konta odczytowe, wpiszmy je do ponownej oceny wraz z osobą odpowiedzialną za decyzję o zachowaniu dostępu. Jeśli były uwzględnione, sprawdźmy, czy ocena obejmowała również ich ochronę.

Przy każdym takim koncie poprośmy o potwierdzenie celu jego używania. Zapis „odczyt” określa zakres uprawnień, ale w przeglądzie ISE potrzebna jest jeszcze odpowiedź, dlaczego ten dostęp pozostaje potrzebny. Proponujemy, aby brak odpowiedzi prowadził do wyjaśnienia z właścicielem konta, zanim zapadnie decyzja o zmianie dostępu. Uzupełniony rejestr powinien pozwolić osobie zatwierdzającej przegląd wskazać, które konta oceniono i jakie decyzje pozostały otwarte. Tak można sprawdzić wykonanie zalecenia bez przypisywania firmie nieudokumentowanych zaniedbań.

Jeden węzeł łączy ryzyko podatności z dostępnością sieci

Według Cisco w instalacji ISE z jednym węzłem awaria po wykorzystaniu podatności może uniemożliwić dostęp do sieci urządzeniom, które jeszcze się nie uwierzytelniły. Ten scenariusz ma dwa warunki: instalację jednowęzłową i wskazaną grupę urządzeń. Nie rozszerzajmy tego opisu na automatyczne odłączenie wszystkich urządzeń ani na każdą możliwą instalację ISE.

Dla osoby odpowiedzialnej za ciągłość działania proponujemy więc konkretne zadanie: potwierdzić liczbę węzłów ISE i odnieść plan przywrócenia dostępu do opisanego scenariusza. Plan powinien wskazywać osobę, która decyduje o rozpoczęciu odtwarzania, oraz sposób sprawdzenia, czy urządzenie może ponownie uzyskać dostęp. Czas potrzebny firmie na wykonanie tych działań wymaga lokalnego ustalenia; nie wyprowadzimy go z informacji o podatnościach. Tak samo potraktujmy koszt ewentualnej przerwy: poprośmy o ocenę we własnej organizacji, zamiast przypisywać temu komunikatowi kwotę strat.

Plan przywrócenia ISE oceniajmy przez możliwość ponownego uzyskania dostępu do sieci przez urządzenie wymagające uwierzytelnienia.

W polskiej firmie połączmy aktualizację, konta i odtwarzanie

Dla polskich odbiorców korzystających z ISE proponujemy wspólne omówienie aktualizacji, przeglądu administratorów i planu odtworzenia usługi uwierzytelniania. Do takiego spotkania przygotujmy informację o stanie każdego z tych działań i o osobie odpowiedzialnej. Gdy któregoś ustalenia brakuje, zapiszmy zadanie do wykonania oraz termin powrotu z odpowiedzią.

Przy aktualizacji ISE ustalmy właściwy zakres prac dla własnej instalacji. Przy kontach poprośmy o wynik przeglądu obejmującego Read Only Admin. Przy odtwarzaniu zapytajmy, jak zespół zweryfikuje przywrócenie dostępu w scenariuszu jednowęzłowym, jeśli dotyczy on firmy. Taki układ rozmowy wynika z warunku ataku i możliwego skutku wskazanych przez Cisco. Pozwala też przypisać konkretne zadania bez dopisywania historii polskiego incydentu. Nie proponujemy terminu zakończenia aktualizacji bez znajomości instalacji; proponujemy ustalenie odpowiedzialności za jej przygotowanie oraz za sprawdzenie pozostałych obszarów.

Co z tym zrobić w poniedziałek

  1. Przygotuj ustalenia do aktualizacji ISE. W ciągu 30 minut zapisz używaną wersję, osobę odpowiedzialną i zadanie sprawdzenia właściwej aktualizacji w komunikacie Cisco PSIRT. Wynikiem ma być ustalony następny krok z terminem, bez obietnicy zakończenia całej aktualizacji w tym czasie.
  2. Rozpocznij przegląd Read Only Admin. Poświęć 30 minut na zestawienie dostępnej listy kont z ich właścicielami i uzasadnieniem dostępu. Zaznacz brakujące potwierdzenia oraz pytania o ochronę kont; przypisz osobę, która je wyjaśni. To ograniczony czasowo początek przeglądu ISE.
  3. Sprawdź plan dla jednego węzła. Przez 30 minut przejrzyj dokumentację własnej instalacji ISE: liczbę węzłów, odpowiedzialność za odtworzenie i sposób potwierdzenia dostępu urządzenia wymagającego uwierzytelnienia. Braki zapisz jako zadania z właścicielem, a próbę odtwarzania zaplanuj osobno.

W ocenie Read Only Admin w ISE uwzględnijmy możliwość nadużycia opisaną przez Cisco. Ochrona i przegląd tych kont powinny wejść do zakresu odpowiedzialności za dostęp do sieci. Przy planowaniu aktualizacji dopilnujmy również ustaleń o odtwarzaniu; w instalacji jednowęzłowej od nich zależy dostęp do sieci.

Źródła

Redakcja cyberinsight.pl.