Cisco Catalyst SD-WAN Manager 인증 우회 및 관리자 권한 탈취 취약점 (CVE-2026-76504) 보안 권고
실무자 핵심 요약 (Executive Summary)
SECOPS ASSESSMENTCisco Catalyst SD-WAN Manager (구 vManage) 소프트웨어
인증되지 않은 원격 공격자가 특수하게 조작된 HTTP 요청을 통해 인증을 우회하고 관리자(admin) 권한으로 시스템에 완전한 접근 권한 획득 가능
제조사 공식 보안 패치를 즉시 적용하고, 관리 인터페이스에 대한 외부 노출 최소화 및 ACL 설정
영향받는 제품 및 버전 범위
권장 패치 및 임시 완화(Workaround) 가이드
PATCH & WORKAROUND- 보안 패치 적용: Cisco Software Central을 방문하여 해당 취약점이 해결된 최신 릴리스로 즉시 업그레이드하십시오.
- 접근 제어 강화: 패치 적용 전까지 vManage 관리 인터페이스(GUI 및 API)에 접근할 수 있는 IP 주소를 신뢰할 수 있는 관리자 네트워크 대역으로 제한하는 ACL(Access Control List)을 설정하십시오.
- 침입 탐지 규칙 적용: WAF 또는 IPS에서 다음과 같은 비정상적인 URI 패턴을 모니터링하십시오.
# 예시: 이중 인코딩 또는 비정상적인 경로 포함 여부 확인
# 탐지 키워드: %2e, %2f, %252e, %252f 등반복되는 SSL-VPN 및 방화벽 Zero-Day 해킹, 이제 외부 포트를 닫고 ZTNA로 전환할 때입니다
공인 IP에 노출된 VPN 장비와 관리 콘솔은 랜섬웨어 그룹의 1순위 타겟입니다. 네트워크 포트 노출 없이 신원 기반으로 안전하게 사내 인프라에 접속하세요.
취약점 발생 원리 및 공격 메커니즘
본 취약점(CVE-2026-76504)은 Cisco Catalyst SD-WAN Manager의 API 세션 인증 관리 로직에서 HTTP 요청의 URI 인코딩을 부적절하게 처리(CWE-177)하여 발생합니다. 공격자는 특정 API 엔드포인트에 대한 접근 제한 규칙을 우회하기 위해 인코딩된 URI가 포함된 HTTP 요청을 전송할 수 있습니다. 시스템이 이를 처리하는 과정에서 인증 검증 단계를 건너뛰게 되며, 결과적으로 공격자는 별도의 로그인 과정 없이 최고 권한인 'admin' 세션을 획득하게 됩니다. CISA KEV(Known Exploited Vulnerabilities)에 등재된 만큼 실제 공격에 악용되고 있으며, EPSS 점수가 0.94로 매우 높아 즉각적인 대응이 필수적입니다.
공식 보안 권고문 및 참조 링크
A vulnerability in the API session-based authentication management of Cisco Catalyst SD-WAN Manager could allow an unauthenticated, remote attacker to access an affected system with privileges of the admin user. This vulnerability is due to improper handling of URI encoding in an HTTP request, which allows the request to bypass an authentication rule that is intended to restrict access to a specific API endpoint. An attacker could exploit this vulnerability by sending a crafted HTTP request to the API of the affected system. A successful exploit could allow the attacker to bypass authentication and gain access to the API as the admin user.
일간 취약점 브리핑 및 긴급 Zero-Day 경보 구독
보안 실무자와 인프라·백엔드 엔지니어를 위해 매일 아침 주요 취약점과 패치 우선순위를 요약해 발송합니다.