Kerngegevens
- Leverancier
- Broadcom (Brocade)
- Product
- Brocade ASCG
- Soort software
- –
- Getroffen versies
- Brocade ASCG alle versies voor 3.5.0
- Oplossing
- Update beschikbaar
- Opgeloste versie
- Brocade ASCG 3.5.0
- CVE gepubliceerd
- 8 oktober 2026
- Gepubliceerd op LekkenRadar
- 14 oktober 2026
- Laatst gewijzigd bij NVD
- 14 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In de beheerservice van Brocade ASCG zit een fout in de inlogcontrole. Wie het netwerk van de service kan bereiken, kan rechtstreeks API-verzoeken sturen zonder in te loggen. Daarmee kan een aanvaller gevoelige configuratiegegevens bekijken, de lijst met beheerde apparaten aanpassen en instellingen wijzigen.
Wie loopt risico?
Je loopt risico als je Brocade ASCG gebruikt in een versie voor 3.5.0. De aanvaller moet wel toegang hebben tot hetzelfde of een aangrenzend netwerk als de beheerservice. Een inlog is niet nodig. Is de beheerservice alleen bereikbaar voor een klein, vertrouwd deel van je netwerk, dan is het risico kleiner. Volgens de gegevens wordt dit lek niet actief misbruikt en is er geen publiek exploit bekend.
Wat moet je doen?
Controleer of je Brocade ASCG gebruikt
Ga na of Brocade ASCG ergens in je omgeving draait en welke versie dat is. Versies voor 3.5.0 zijn getroffen.
Werk bij naar versie 3.5.0
Installeer Brocade ASCG 3.5.0 of nieuwer. Dit is de versie waarin het lek volgens de leverancier is opgelost.
Beperk de toegang tot de beheerservice
Zorg dat alleen vertrouwde beheersystemen de beheerservice kunnen bereiken, bijvoorbeeld via een apart beheernetwerk of firewallregels. Doe dit zeker zolang je nog niet hebt bijgewerkt.
Lees het advies van de leverancier
Broadcom heeft één advies gepubliceerd dat ook andere lekken behandelt. Lees het advies en controleer of daar nog aanvullende stappen in staan.
Dezelfde update lost meer lekken op
Dezelfde update verhelpt ook CVE-2026-85421, CVE-2026-85423, CVE-2026-85486, CVE-2026-85487, CVE-2026-87424, CVE-2026-85422, CVE-2026-87428, CVE-2026-85490, CVE-2026-87425, CVE-2026-85488. Met de update hierboven zijn die ook opgelost.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
De beheerservice van Brocade ASCG controleert niet of een gebruiker is ingelogd voordat bepaalde API-functies worden uitgevoerd (CWE-306). Een niet-geauthenticeerde aanvaller kan direct verzoeken naar de API sturen en daarmee bevoorrechte acties uitvoeren. Het gaat om het uitlezen van gevoelige configuratiegegevens, het wijzigen van de inventaris van beheerde apparaten en het aanpassen van operationele instellingen. De CVSS 4.0-score is 8,7, met aanvalsroute aangrenzend netwerk (AV:A), lage complexiteit, geen vereiste rechten en geen gebruikersinteractie. De impact op vertrouwelijkheid en integriteit is hoog, op beschikbaarheid laag. Alle versies voor 3.5.0 zijn getroffen.
CVSS-vector (versie 4.0, basisscore 8,7, bron: CNA)
CVSS:4.0/AV:A/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:L/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X- Zwakheid (CWE)
- CWE-306 · Ontbrekende authenticatie voor een kritieke functie
- Aanvalsroute
- Vanaf hetzelfde netwerk
- EPSS, kans op misbruik binnen 30 dagen
- 0,2%
- Aanvalscode openbaar
- Nee