CVE-2026-87673: инъекция команд в Brocade Fabric OS
В диагностических утилитах командной строки для обслуживания Brocade Fabric OS выявлена уязвимость инъекции команд операционной системы. Она позволяет привилегированному пользователю, имеющему доступ к сервисной учётной записи, выполнить произвольные команды на уровне операционной системы с правами root.
Подробности
Уязвимости подвержены Brocade Fabric OS версий до 9.2.2d, а также версии 10.0.0–10.0.0a1. Согласно описанию, бинарный файл диагностической утилиты не выполняет очистку (sanitization) пользовательских входных параметров при вызове нижележащих системных команд через интерпретатор оболочки. В результате пользователь с доступом к сервисной учётной записи может передать специально сформированные параметры и добиться выполнения произвольных команд ОС.
Уязвимость классифицируется как инъекция OS-команд (OS command injection). Ей присвоен идентификатор CVE-2026-87673. Базовая оценка CVSS составляет 7, что соответствует уровню HIGH.
Для эксплуатации злоумышленнику требуется привилегированный доступ — наличие сервисной учётной записи с доступом к диагностическим утилитам. Это ограничивает круг потенциальных атакующих, однако при компрометации такой учётной записи последствия могут быть серьёзными: выполнение команд с максимальными правами root даёт полный контроль над системой.
Что делать
Основная рекомендация — обновить Brocade Fabric OS до версии, в которой уязвимость устранена. Для ветки 9.x целевой версией является 9.2.2d и выше; для ветки 10.0 необходимо перейти на версию новее 10.0.0a1. Перед обновлением следует свериться с официальными рекомендациями вендора и проверить совместимость с текущей конфигурацией.
До установки обновления целесообразно применить компенсирующие меры:
- ограничить и строго контролировать доступ к сервисным (maintenance) учётным записям;
- не предоставлять доступ к диагностическим утилитам пользователям, которым он не необходим;
- провести ревизию учётных записей и отозвать неиспользуемые;
- усилить мониторинг использования привилегированных учётных записей и подозрительной активности в командной строке.
Следует также учитывать, что уязвимость требует наличия доступа к сервисной учётной записи, поэтому ключевым барьером остаётся строгое управление привилегиями и своевременный аудит доступа к оборудованию Brocade.
Уязвимость CVE-2026-87673 относится к классу инъекции OS-команд и позволяет привилегированному пользователю с сервисным доступом выполнять произвольные команды с правами root на уязвимых версиях Brocade Fabric OS. Учитывая высокую оценку CVSS (7, HIGH), рекомендуется не откладывать обновление до исправленных версий — 9.2.2d и выше либо новее 10.0.0a1 — и параллельно ограничить доступ к сервисным учётным записям.
Источник: CVE Project (cvelistV5)