Kerngegevens
- Leverancier
- VMware (Broadcom)
- Product
- Brocade Fabric OS
- Soort software
- virtualisatie
- Getroffen versies
- Brocade Fabric OS tot 10.0.1
- Oplossing
- Update beschikbaar
- Opgeloste versie
- Brocade Fabric OS 10.0.1
- CVE gepubliceerd
- 8 oktober 2026
- Gepubliceerd op LekkenRadar
- 13 oktober 2026
- Laatst gewijzigd bij NVD
- 13 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In de Management Server van Brocade Fabric OS zit een fout waardoor de controle op beheerdersrechten omzeild kan worden. Een gecompromitteerde switch in dezelfde fabric kan speciaal opgestelde Fibre Channel-beheerverzoeken sturen. Daarmee kan die switch beheeracties uitvoeren op een andere switch, zoals het opnieuw instellen van beheerderswachtwoorden, een herstart of het starten van een firmware-download.
Wie loopt risico?
Je loopt risico als je Brocade Fabric OS gebruikt in een versie voor 10.0.1. Een aanvaller heeft eerst een switch in de fabric onder controle nodig, dus de aanval vanaf buitenaf is niet direct mogelijk. Er is geen aanwijzing dat het lek actief wordt misbruikt en er is geen openbare exploit bekend.
Wat moet je doen?
Controleer je versie
Kijk welke versie van Brocade Fabric OS op je switches draait. Versies voor 10.0.1 zijn getroffen.
Werk bij naar 10.0.1
Installeer Fabric OS 10.0.1 volgens het advies van Broadcom. Dezelfde update hoort bij een advies dat meerdere lekken behandelt.
Beperk de blootstelling
Zorg dat alleen vertrouwde switches met de fabric verbonden zijn en dat de beheeromgeving goed afgeschermd is, zolang je nog niet hebt bijgewerkt.
Lees het advies van de leverancier
Raadpleeg het beveiligingsadvies van Broadcom voor de details en eventuele aanvullende maatregelen.
Dezelfde update lost meer lekken op
Dezelfde update verhelpt ook CVE-2026-87682, CVE-2026-87683, CVE-2026-87671. Met de update hierboven zijn die ook opgelost.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
De Management Server van Brocade Fabric OS controleert onvoldoende of een inband Fibre Channel-verzoek van een peer-switch geautoriseerd is. Een aanvaller met een gecompromitteerde switch in de fabric kan vendor-unique CT-verzoeken (Common Transport) opstellen waarmee de beheerauthenticatie wordt omzeild. Zo kan de aanvaller op het doelapparaat beheeracties uitvoeren, waaronder het resetten van beheerderswachtwoorden, het herstarten van het systeem en het starten van firmware-downloads. De fout is geclassificeerd als ontbrekende authenticatie voor een kritieke functie (CWE-306). De CVSS-score is 7,1 (CVSS 4.0), met als aanvalsroute lokaal.
CVSS-vector (versie 4.0, basisscore 7,1, bron: CNA)
CVSS:4.0/AV:L/AC:L/AT:P/PR:H/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X- Zwakheid (CWE)
- CWE-306 · Ontbrekende authenticatie voor een kritieke functie
- Aanvalsroute
- Alleen met toegang tot het apparaat
- EPSS, kans op misbruik binnen 30 dagen
- 0,1%
- Aanvalscode openbaar
- Nee
Advies van de overheid
- NCSC (Nederland)Kans: Middel · Schade: HoogBekijk advies