Vulnérabilité d'écrasement arbitraire de fichiers Cisco ThousandEyes Enterprise Agent

La vulnérabilité CVE-2026-20161 dans l'agent d'entreprise Cisco ThousandEyes permet à un attaquant local authentifié disposant de faibles privilèges de remplacer des fichiers arbitraires sur le système local de l'appareil affecté. Cela est dû à des contrôles d'accès inappropriés sur les fichiers du système de fichiers local de l'appareil. Un attaquant pourrait exploiter cette vulnérabilité en plaçant un lien symbolique dans un emplacement spécifique du système de fichiers local. Une exploitation réussie pourrait permettre à l'attaquant de compromettre l'intégrité des données et d'exécuter potentiellement du code malveillant sur l'appareil. Bien que le score CVSS soit de 5,5, la nécessité d'un accès local et de faibles privilèges limite la portée de l'exploitation, mais elle représente toujours un risque important, en particulier dans les environnements où l'accès local n'est pas suffisamment restreint. L'absence de correctif fourni par Cisco nécessite une évaluation minutieuse et la mise en œuvre de mesures d'atténuation alternatives.

Organizations utilizing Cisco ThousandEyes Enterprise Agent for network performance monitoring are at risk, particularly those with less stringent access controls on their agent deployments. Environments with shared hosting or legacy configurations where agent access is not adequately restricted are especially vulnerable.

• windows / supply-chain:

Get-ScheduledTask | Where-Object {$_.TaskName -like '*ThousandEyes*'} | Stop-ScheduledTask

• linux / server:

journalctl -u thousandeyes-agent | grep -i "symbolic link"

• generic web:

curl -I http://<thousandeyes_agent_ip>/cli

1. 2026-04-15Disclosure

   disclosure

1. Réservé2025-10-08
2. Publiée2026-04-15
3. EPSS mis à jour2026-04-23

Étant donné que Cisco n'a pas fourni de correctif direct (fix : none), l'atténuation se concentre sur la réduction des risques grâce à des mesures de sécurité complémentaires. Il est fortement recommandé de restreindre l'accès local à l'agent d'entreprise ThousandEyes. La mise en œuvre de contrôles d'accès stricts, tels que l'authentification multifacteur (MFA) et le principe du moindre privilège, peut aider à prévenir l'exploitation. La surveillance du système de fichiers pour la création de liens symboliques suspects est essentielle. De plus, l'examen et le renforcement de la configuration de l'agent ThousandEyes afin de minimiser la surface d'attaque constituent une bonne pratique. Envisagez la segmentation du réseau pour isoler les appareils sur lesquels l'agent est installé, ce qui peut limiter l'impact d'une éventuelle exploitation. Une évaluation des risques approfondie doit être effectuée pour déterminer la probabilité et l'impact de l'exploitation dans l'environnement spécifique.