Kerngegevens
- Leverancier
- VMware (Broadcom)
- Product
- Brocade Fabric OS
- Soort software
- virtualisatie
- Getroffen versies
- Brocade Fabric OS tot 10.0.1
- Oplossing
- Update beschikbaar
- Opgeloste versie
- Brocade Fabric OS 10.0.1
- CVE gepubliceerd
- 8 oktober 2026
- Gepubliceerd op LekkenRadar
- 13 oktober 2026
- Laatst gewijzigd bij NVD
- 13 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In Brocade Fabric OS versies vóór 10.0.1 zitten meerdere lekken waarbij invoer niet goed wordt gecontroleerd. Daardoor kan een aanvaller opdrachten laten uitvoeren op het besturingssysteem van het apparaat. De fouten zitten in de beheerinterface en in de verwerking van sessies voor gebruikers uit een directoryservice. Een aanvaller kan zo opdrachten met verhoogde rechten uitvoeren.
Wie loopt risico?
Je loopt risico als je beheerders van Brocade Fabric OS gebruikt met een versie van vóór 10.0.1. De aanvaller moet ingelogd zijn, bijvoorbeeld met een gewoon account of met een gekaapt account uit de directoryservice. Ook moet hij toegang hebben tot hetzelfde netwerksegment als het apparaat, want de aanvalsroute is aangrenzend. In de gegevens staat geen melding van actief misbruik of van een publiek beschikbare exploit.
Wat moet je doen?
Controleer je versie
Kijk na welke versie van Brocade Fabric OS op je apparaten draait. Versies vóór 10.0.1 zijn getroffen.
Werk bij naar 10.0.1
Installeer Fabric OS 10.0.1, de versie waarin de leverancier het lek heeft opgelost. Volg daarbij het advies van Broadcom.
Beperk toegang tot het beheernetwerk
Zorg dat alleen vertrouwde beheerders en systemen bij de beheerinterface kunnen. Houd het beheernetwerk gescheiden van andere netwerken.
Controleer accounts
Kijk na welke gebruikers en directoryaccounts toegang hebben tot de apparaten. Verwijder accounts die niet nodig zijn en controleer of er verdachte aanmeldingen zijn geweest.
Lees het advies van de leverancier
Hetzelfde advies van Broadcom gaat ook over CVE-2026-87683, CVE-2026-87659 en CVE-2026-87671. Bekijk dat advies om te zien of ook die lekken voor jouw omgeving gelden.
Dezelfde update lost meer lekken op
Dezelfde update verhelpt ook CVE-2026-87683, CVE-2026-87659, CVE-2026-87671. Met de update hierboven zijn die ook opgelost.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het gaat om meerdere OS-commando-injecties (CWE-78) in de beheerinterface en de sessieverwerking van Brocade Fabric OS vóór 10.0.1. Bij het valideren van externe beheerverbindingen en bij het verifiëren van sessies voor accounts uit een directoryservice wordt invoer onvoldoende gefilterd. Invoer met shell-metatekens kan daardoor terechtkomen in interne wrappers die systeemopdrachten uitvoeren. Een geauthenticeerde gebruiker of een gecompromitteerd directoryaccount kan zo willekeurige opdrachten met verhoogde rechten uitvoeren. De CVSS 4.0-score is 8,6, met aangrenzende aanvalsroute, lage complexiteit en lage vereiste rechten, en met grote gevolgen voor vertrouwelijkheid, integriteit en beschikbaarheid.
CVSS-vector (versie 4.0, basisscore 8,6, bron: CNA)
CVSS:4.0/AV:A/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X- Zwakheid (CWE)
- CWE-78 · Onjuiste neutralisatie van speciale elementen in OS-opdrachten (OS-commando-injectie)
- Aanvalsroute
- Vanaf hetzelfde netwerk
- EPSS, kans op misbruik binnen 30 dagen
- 0,9%
- Aanvalscode openbaar
- Nee