[CVE-2026-42406]YK-ADC 容翼/威翼系列权限提升漏洞

高CVE

漏洞描述: YK-ADC 容翼/威翼系列系统中存在一个漏洞，拥有至少 Certificate Manager 角色的高权限认证攻击者可以修改配置对象，从而允许执行任意命令。(CVE-2026-42406)

漏洞影响: 此漏洞可能会使拥有网络访问权限(包括对 YK-ADC 容翼/威翼系列管理端口或 Self IP 地址的访问)的高权限攻击者执行任意系统命令，并创建或删除文件。在 YK-ADC 容翼/威翼系列系统上，还可能导致绕过 Appliance 模式限制。在 Appliance 模式部署中，成功利用此漏洞可允许攻击者跨越安全边界。

缓解措施:由于此攻击是由具有合法身份认证、属于管理员角色的用户发起的，因此不存在既能有效遏制攻击又能允许用户访问 YK-ADC 容翼/威翼系列系统的解决方案。唯一的应对措施是取消对那些不完全可信的用户的访问权限。

临时缓解措施: 允许SSH 仅从受信任的网络或设备访问 YK-ADC 容翼/威翼系列配置实用程序和命令行界面，从而减少了攻击面。

2026年05月

CVSSv3.1 评分/等级

8.7

high(设备模式)
CVSSv3.1 评分/等级

6.5

medium(标准模式)
CVSSv3.1 评分/等级

6.5

medium

厂商
神州云科
产品
YK-ADC 容翼/威翼系列 / YK-IOS / Centralized Management / YK-IOS
报告期别
2026年05月
影响平面
控制平面

受影响版本

YK-ADC 容翼/威翼系列 17.5.0 - 17.5.1；17.1.0 - 17.1.3；21.0.0；
8.4.0 - 8.4.1

处置建议

YK-ADC 容翼/威翼系列 17.5.1.6；21.0.0.2；17.1.3.2