Kerngegevens
- Leverancier
- VMware (Broadcom)
- Product
- Brocade Fabric OS
- Soort software
- virtualisatie
- Getroffen versies
- Brocade Fabric OS alle versies voor 10.0.1
- Oplossing
- Update beschikbaar
- Opgeloste versie
- Brocade Fabric OS 10.0.1
- CVE gepubliceerd
- 8 oktober 2026
- Gepubliceerd op LekkenRadar
- 13 oktober 2026
- Laatst gewijzigd bij NVD
- 13 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In de REST API waarmee je Brocade Fabric OS beheert zit een fout bij het verwerken van verzoeken. De API controleert niet goed of de aantallen en tekstlengtes in een verzoek in het geheugen passen. Een aanvaller kan daardoor te grote gegevens sturen en het geheugen van de dienst beschadigen. Dat kan de dienst laten crashen of mogelijk code laten uitvoeren binnen het beheerproces. De ernst is hoog (8,6).
Wie loopt risico?
Je loopt risico als je een Brocade Fabric OS-versie ouder dan 10.0.1 gebruikt waarop de REST API bereikbaar is. De aanvaller moet toegang hebben tot de REST API en kunnen inloggen. De aanval verloopt via het aangrenzende netwerk, dus de aanvaller moet in hetzelfde netwerksegment zitten. Volgens de gegevens wordt het lek niet actief misbruikt en is er geen openbare exploit bekend.
Wat moet je doen?
Controleer je versie
Kijk na welke versie van Fabric OS op je switches draait. Versies ouder dan 10.0.1 zijn getroffen.
Werk bij naar 10.0.1
Installeer Fabric OS 10.0.1 volgens de instructies in het advies van Broadcom. Daarmee is dit lek verholpen.
Beperk toegang tot de REST API
Laat alleen beheersystemen en beheerders die het echt nodig hebben bij de REST API. Houd het beheernetwerk gescheiden van andere netwerken.
Controleer accounts met API-toegang
Kijk na welke accounts toegang hebben tot de REST API en verwijder accounts die je niet nodig hebt. Gebruik sterke wachtwoorden.
Lees het advies van de leverancier
Het advies van Broadcom bevat de actuele details en eventuele aanvullende maatregelen. Je vindt het via de bronnen onder dit bericht.
Dezelfde update lost meer lekken op
Dezelfde update verhelpt ook CVE-2026-87682, CVE-2026-87659, CVE-2026-87671. Met de update hierboven zijn die ook opgelost.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het gaat om meerdere stackgebaseerde bufferoverlopen in de REST API-beheercomponent van Brocade Fabric OS vóór versie 10.0.1. Bij het verwerken van API-payloads, zoals apparaatconfiguratie-attributen of poortmappingverzoeken, controleert de service de aantallen in arrays en de lengtes van strings niet tegen de capaciteit van interne buffers. Een geauthenticeerde aanvaller met REST API-toegang kan verzoeken met te grote parameters sturen en daarmee geheugencorruptie op de uitvoeringsstack veroorzaken. Dat kan leiden tot een denial-of-service doordat de daemon crasht, of mogelijk tot het uitvoeren van willekeurige code in de context van het beheerproces. De CVSS 4.0-score is 8,6 en de aanvalsroute is aangrenzend, met lage rechten en zonder gebruikersinteractie.
CVSS-vector (versie 4.0, basisscore 8,6, bron: CNA)
CVSS:4.0/AV:A/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X- Zwakheid (CWE)
- CWE-121 · Stackgebaseerde bufferoverloop
- Aanvalsroute
- Vanaf hetzelfde netwerk
- EPSS, kans op misbruik binnen 30 dagen
- 0,2%
- Aanvalscode openbaar
- Nee