Kerngegevens
- Leverancier
- VMware (Broadcom)
- Product
- Brocade Fabric OS
- Soort software
- virtualisatie
- Getroffen versies
- Brocade Fabric OS ouder dan 10.0.1
- Oplossing
- Update beschikbaar
- Opgeloste versie
- Brocade Fabric OS 10.0.1
- CVE gepubliceerd
- 8 oktober 2026
- Gepubliceerd op LekkenRadar
- 13 oktober 2026
- Laatst gewijzigd bij NVD
- 13 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In Brocade Fabric OS versies voor 10.0.1 zit een fout in de verwerking van trunkconfiguratie. Het systeem zet een lijst die een gebruiker opgeeft om in een reeks in het geheugen, maar controleert niet hoeveel items die lijst mag bevatten. Door een verzoek met erg veel scheidingstekens te sturen, raakt het geheugen beschadigd. Het gevolg is een crash van de dienst of mogelijk het uitvoeren van willekeurige code.
Wie loopt risico?
Je loopt risico als je Brocade Fabric OS gebruikt in een versie ouder dan 10.0.1. Een aanvaller moet ingelogd zijn als beheerder en toegang hebben tot de REST API vanaf een aangrenzend netwerk. Er zijn geen aanwijzingen dat het lek actief wordt misbruikt. Een publiek bekende aanvalsmethode is er ook niet.
Wat moet je doen?
Controleer je versie
Kijk na welke versie van Brocade Fabric OS je switches gebruiken. Versies voor 10.0.1 zijn getroffen.
Werk bij naar 10.0.1
Installeer Fabric OS 10.0.1 volgens het advies van de leverancier. Volgens de gegevens hoort dit lek bij hetzelfde advies als CVE-2026-87680 en CVE-2026-87681.
Beperk toegang tot de REST API
Laat alleen vertrouwde beheerstations bij de beheerinterface en de REST API. Houd dat netwerk gescheiden van gewoon verkeer.
Controleer beheerdersaccounts
Voor misbruik is een beheerdersaccount nodig. Verwijder accounts die je niet meer nodig hebt en gebruik sterke, unieke wachtwoorden.
Dezelfde update lost meer lekken op
Dezelfde update verhelpt ook CVE-2026-87680, CVE-2026-87681. Met de update hierboven zijn die ook opgelost.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Bij het verwerken van trunkconfiguratie-opdrachten parseert Fabric OS door de gebruiker aangeleverde lijststrings naar dynamisch gealloceerde arrays op de heap. Er is geen controle op het maximale aantal elementen. Een geauthenticeerde beheerder kan via speciaal opgestelde REST API-verzoeken met een buitensporig aantal lijstscheidingstekens de heap laten overlopen. Dat leidt tot heapcorruptie, met een crash van de dienst of uitvoering van willekeurige code als mogelijk gevolg. De CVSS 4.0-vector wijst op een aanval vanaf een aangrenzend netwerk, met hoge rechten als vereiste en een hoge impact op vertrouwelijkheid, integriteit en beschikbaarheid.
CVSS-vector (versie 4.0, basisscore 8,5, bron: CNA)
CVSS:4.0/AV:A/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X- Zwakheid (CWE)
- CWE-122 · Heap-gebaseerde bufferoverloop
- Aanvalsroute
- Vanaf hetzelfde netwerk
- EPSS, kans op misbruik binnen 30 dagen
- 0,2%
- Aanvalscode openbaar
- Nee
Advies van de overheid
- NCSC (Nederland)Kans: Middel · Schade: HoogBekijk advies