Cisco Secure Workload曝出10.0级漏洞：未认证REST API可获取Site Admin权限

漏洞概览：CVE‑2026‑20223

思科在其工作负载安全平台 Cisco Secure Workload（前身为 Cisco Tetration）中披露了一项严重漏洞 CVE‑2026‑20223。该漏洞存在于系统的 内部 REST API 访问验证机制 中，攻击者可以在未认证的情况下远程访问受保护资源。

根据公开描述，这一问题源于 对 REST API 端点的身份验证和访问校验不足。如果攻击者向受影响的 API 发送特制请求，系统可能错误地允许访问，从而以更高权限执行操作。

成功利用后，攻击者可能：

• 以 Site Admin（站点管理员）权限访问系统资源
• 读取敏感数据
• 修改系统配置或策略
• 在多租户环境中影响其他租户的数据或配置

这些能力使漏洞具备极高的安全风险。

攻击原理：未认证 REST API 调用

漏洞的核心问题在于内部 API 的访问控制流程。

正常情况下：

1. API 调用需要身份验证（例如令牌或会话）。
2. 系统验证调用者权限。
3. 只有合法用户才能访问敏感资源。

但在 CVE‑2026‑20223 中：

• 部分内部 REST API 缺乏充分的身份验证与权限校验。
• 攻击者只需构造 API 请求即可访问相关端点。
• 系统可能将请求视为具有更高权限的用户或管理员。

因此，攻击者无需账号、无需本地访问，仅通过网络即可触发漏洞。

为什么CVSS评分达到10.0

该漏洞被评为 CVSS v3.1 最高分 10.0（Critical）。

造成这一评分的原因包括：

• 网络可利用（AV:N）：攻击者可以远程利用
• 无需权限（PR:N）：不需要账户或认证
• 利用复杂度低（AC:L）：仅需构造API请求
• 影响范围广：可读取敏感信息并修改系统配置

更关键的是漏洞存在 “Scope Changed”影响。这意味着攻击可能突破原有安全边界，例如：

• 从一个用户权限扩展到管理员权限
• 或从一个租户影响到其他租户

在多租户安全平台中，这种 跨租户影响（cross‑tenant impact） 会显著提升风险等级，因此评分达到最高级别。

受影响版本与修复

公开信息显示，思科已发布安全更新修复该问题。例如：

• Cisco Secure Workload 4.0.3.17
• Cisco Secure Workload 3.10.8.3

用户和管理员应尽快升级到官方修复版本，以避免未授权访问或配置篡改风险。

如果系统仍运行旧版本，攻击者可能利用漏洞：

• 窃取敏感数据
• 修改安全策略
• 在多租户环境中横向访问资源

关键安全启示

CVE‑2026‑20223 再次说明：

• 内部 API 也必须实施严格身份验证与授权控制。
• 微分段或多租户安全平台一旦出现权限边界问题，风险会被放大。

对于运行 Cisco Secure Workload 的组织来说，及时升级补丁并审查 API 访问日志 是当前最重要的防护措施之一。