Cisco IMC : faille critique CVSS 9.8 permet un accès admin

Cisco publie un correctif d'urgence pour une vulnérabilité critique affectant l'Integrated Management Controller (IMC), le module d'administration matérielle intégré à ses serveurs UCS. La faille CVE-2026-20093 Cisco IMC, dotée d'un score CVSS de 9.8, permet à un attaquant non authentifié de contourner les mécanismes d'authentification de l'interface de gestion et d'obtenir un accès administrateur complet sur le système ciblé. Un tel niveau de privilège autorise la reconfiguration du serveur, la manipulation du firmware ou le déploiement de charges persistantes, invisibles depuis le système d'exploitation hôte. Le bulletin de sécurité corrige également une seconde vulnérabilité affectant le même composant. En l'absence de contournement documenté, Cisco recommande aux administrateurs d'appliquer sans délai les versions correctives publiées et de restreindre l'exposition réseau des interfaces IMC aux seuls segments d'administration.

Les faits

Le 4 avril 2026, Cisco a publié deux avis de sécurité critiques concernant son Integrated Management Controller (IMC) et son Smart Software Manager (SSM). La vulnérabilité principale, CVE-2026-20093, réside dans le traitement incorrect des requêtes de changement de mot de passe au sein de l'interface web de l'IMC. Un attaquant distant non authentifié peut envoyer une requête HTTP spécialement construite pour contourner l'authentification, modifier le mot de passe de n'importe quel utilisateur — y compris l'administrateur — et obtenir un accès complet au système. La découverte est créditée au chercheur en sécurité « jyh », selon l'avis officiel de Cisco.

Les produits affectés incluent les serveurs UCS C-Series M5 et M6 en mode autonome, ainsi que les systèmes Enterprise Network Compute Systems (ENCS) série 5000. Cisco précise que les versions corrigées sont respectivement 4.3(2.260007), 4.3(6.260017) et 6.0(1.250174) pour les UCS, et 4.15.5 pour les ENCS. À ce stade, Cisco indique ne pas avoir observé d'exploitation active dans la nature, mais la disponibilité d'un PoC rend cette situation susceptible d'évoluer rapidement. Les équipes qui utilisent des infrastructures auditées régulièrement auront un avantage net pour identifier les systèmes exposés.

Impact et exposition

L'IMC est le contrôleur de gestion hors bande des serveurs Cisco UCS. Il permet la configuration BIOS, le monitoring matériel, la gestion des disques virtuels et l'accès console à distance. Un attaquant qui compromet l'IMC dispose d'un contrôle total sur le serveur physique, indépendamment du système d'exploitation installé. Cela inclut la capacité de modifier le firmware, d'injecter des implants persistants au niveau matériel et de pivoter vers d'autres systèmes du réseau de management. Les organisations qui exposent leur interface IMC sur un réseau accessible — même un VLAN de management mal segmenté — sont directement vulnérables. Ce type de faille rappelle les problématiques soulevées par les vulnérabilités critiques Fortinet récemment exploitées.

Recommandations

• Immédiat : appliquer les correctifs firmware Cisco IMC sur tous les serveurs UCS C-Series M5/M6 et ENCS 5000 concernés
• Urgent : vérifier que l'interface de management IMC n'est pas accessible depuis des réseaux non autorisés — restreindre via ACL réseau
• Moyen terme : auditer la segmentation réseau des interfaces de management hors bande (iLO, iDRAC, IMC) dans l'ensemble de l'infrastructure, conformément aux bonnes pratiques de pentest réseau
• Surveiller les logs d'accès IMC pour détecter des tentatives de changement de mot de passe non autorisées

Le vecteur d'exploitation repose sur un défaut de validation côté serveur dans le module de gestion des identifiants de l'interface web IMC : la requête HTTP de réinitialisation de mot de passe n'exige pas de jeton de session valide préalable, ce qui permet à un attaquant de forger directement l'appel API sans authentification initiale. Le score CVSS 9.8 (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) reflète une exploitation réseau, sans complexité ni interaction utilisateur, avec un impact total sur la confidentialité, l'intégrité et la disponibilité du système géré.

Ce type de faille n'est pas isolé dans l'écosystème Cisco UCS : les interfaces de management out-of-band (IMC, CIMC, iDRAC chez Dell, iLO chez HPE) constituent historiquement une surface d'attaque privilégiée car elles opèrent indépendamment de l'OS hôte et échappent souvent aux cycles de patch classiques. Des campagnes similaires ciblant des BMC exposés ont déjà servi de point d'entrée pour des attaques de ransomware par persistance firmware, rendant la remédiation particulièrement critique pour les datacenters et hébergeurs mutualisés.

Sur le plan de la détection, les administrateurs doivent auditer les journaux d'authentification IMC à la recherche de tentatives de changement de mot de passe non précédées d'une connexion valide, ainsi que la création de comptes administrateurs inconnus. Cisco recommande également de vérifier l'absence d'exposition directe du port 443 de l'IMC sur internet via un scan Shodan ou Censys ciblé sur les bannières UCS, et d'isoler ces interfaces derrière un VLAN de management dédié avec accès restreint par liste blanche d'IP. La vulnérabilité associée dans le Smart Software Manager, bien que de sévérité moindre, doit être corrigée conjointement car elle partage des composants d'authentification avec certains déploiements IMC intégrés.