北京
深夜，一名思科技术支持工程师正在追溯一位客户的异常告警。日志里反复出现的特定HTTP请求引起了他的注意——这些请求的路径中嵌入了“../”跳转序列，目标直指容器内本应隔绝的配置文件目录。顺着这条线索，团队发现了一个可用于读取任意文件的高危路径遍历漏洞，编号CVE-2026-20191。这个埋藏在思科Catalyst Center（原DNA Center）界面中的缺陷，让未经过身份验证的远程攻击者，仅凭精心构造的HTTP包就能窃取被隔离环境中的敏感数据。
根据思科发布的安全公告，漏洞CVSS评分7.5，属于高危级别，在通用漏洞评分体系中意味着机密性完全丢失，但不会直接波及完整性和可用性。它被归类为CWE-22，即对用户输入的路径参数校验不严所造成的目录穿越。问题出在Catalyst Center提供的管理接口上，这款产品是目前思科企业网络自动化运维的中枢，承担着策略下发、设备配置、故障排查等一系列核心任务。无论是硬件一体机部署，还是运行在AWS、Azure以及VMware ESXi上的虚拟化实例，所有形态均受这一缺陷影响，且与具体业务配置无关。
路径遍历的利用门槛很低。攻击者只需向漏洞实例发送一条特殊HTTP会话，在其中插入“../”等相对路径跳转字符，便能突破容器的工作目录限制，以应用进程的权限任意翻阅文件系统。虽然漏洞所在的环境被设计为受限容器，但仍有大量关键物料存储于此：设备的明文配置文件、SSH密钥、API凭证、监控系统的身份令牌，乃至可能记录网络拓扑的内部文档。这些信息一旦流出，就成为攻击者进行横向移动、深入内网的绝佳跳板。思科明确指出，利用此漏洞无法修改数据或中断服务，但单是信息泄露这一条，已经足以让企业内网的防御边界
特别声明：以上内容(如有图片或视频亦包括在内)为自媒体平台“网易号”用户上传并发布，本平台仅提供信息存储服务。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
