Kerngegevens
- Leverancier
- Broadcom (Brocade)
- Product
- Brocade ASCG
- Soort software
- –
- Getroffen versies
- Brocade ASCG tot 3.5.0
- Oplossing
- Update beschikbaar
- Opgeloste versie
- Brocade ASCG 3.5.0
- CVE gepubliceerd
- 8 oktober 2026
- Gepubliceerd op LekkenRadar
- 14 oktober 2026
- Laatst gewijzigd bij NVD
- 14 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In de HTTPS-service van Brocade ASCG ontbreekt een goede controle op inloggegevens en toegangsrechten. Daardoor kan iemand zonder account opdrachten sturen naar de service. Zo'n aanvaller kan het cluster aansturen, de status van het cluster veranderen en instellingen aanpassen. Volgens de leverancier kan dit leiden tot volledige overname van de besturing van de streamingdienst.
Wie loopt risico?
Je loopt risico als je Brocade ASCG gebruikt in een versie ouder dan 3.5.0. De aanvaller heeft geen inlogaccount nodig, maar moet volgens de beoordeling wel toegang hebben tot een aangrenzend netwerk, dus bijvoorbeeld hetzelfde netwerksegment als de ASCG. Er zijn geen aanwijzingen dat het lek actief wordt misbruikt, en er is geen openbare aanvalscode bekend.
Wat moet je doen?
Controleer je versie
Kijk na of je Brocade ASCG gebruikt en welke versie er draait. Versies ouder dan 3.5.0 zijn kwetsbaar.
Werk bij naar 3.5.0
Installeer Brocade ASCG 3.5.0, de versie waarin het lek is opgelost. Volg daarbij het advies van Broadcom.
Beperk de toegang tot de service
Zolang je nog niet kunt bijwerken, zorg je dat alleen vertrouwde systemen en beheerders de HTTPS-service van de ASCG kunnen bereiken, bijvoorbeeld via netwerksegmentatie of firewallregels.
Lees het advies van de leverancier
Broadcom beschrijft in het advies de details. Voor dezelfde update gelden ook andere lekken, dus controleer of die voor jouw omgeving relevant zijn.
Dezelfde update lost meer lekken op
Dezelfde update verhelpt ook CVE-2026-85489, CVE-2026-85423, CVE-2026-85486, CVE-2026-85487, CVE-2026-87424, CVE-2026-85422, CVE-2026-87428, CVE-2026-85490, CVE-2026-87425, CVE-2026-85488. Met de update hierboven zijn die ook opgelost.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
De HTTPS-service van Brocade ASCG voert geen correcte authenticatie- of toegangscontrole uit op binnenkomende verzoeken. Dit is een geval van ontbrekende authenticatie voor een kritieke functie (CWE-306). Een niet-geauthenticeerde aanvaller kan hierdoor besturingsopdrachten uitvoeren, clusterstatussen wijzigen en systeemconfiguraties aanpassen. De CVSS 4.0-vector (AV:A/AC:L/AT:N/PR:N/UI:N) laat zien dat de aanval via een aangrenzend netwerk plaatsvindt, weinig complexiteit heeft en geen gebruikersinteractie vereist. De impact op vertrouwelijkheid, integriteit en beschikbaarheid van het getroffen systeem is hoog. Het lek is opgelost in versie 3.5.0.
CVSS-vector (versie 4.0, basisscore 8,7, bron: CNA)
CVSS:4.0/AV:A/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X- Zwakheid (CWE)
- CWE-306 · Ontbrekende authenticatie voor een kritieke functie
- Aanvalsroute
- Vanaf hetzelfde netwerk
- EPSS, kans op misbruik binnen 30 dagen
- 0,2%
- Aanvalscode openbaar
- Nee