BEDROHUNG
Gegen die als CVE-2026-20230 geführte Schwachstelle in Cisco Unified Communications Manager (CM) und Cisco Unified CM Session Management Edition wurden erste Ausnutzungsversuche beobachtet. Cisco veröffentlichte bereits am 3. Juni Updates; der CVSS-Score liegt bei 8.6, Cisco selbst stuft die Lücke aufgrund ihrer möglichen Auswirkungen als kritisch ein.
Die Schwachstelle beruht auf unzureichender Validierung bestimmter HTTP-Requests und ermöglicht nicht authentifizierten Angreifern Server-Side-Request-Forgery (SSRF). Über präparierte Anfragen lassen sich Dateien auf das zugrunde liegende Betriebssystem schreiben. Angreifer können diesen Schreibzugriff anschließend für Remote Code Execution (RCE) und die Erlangung von Root-Rechten missbrauchen.
Das Threat-Intelligence-Unternehmen Defused warnte über X vor ersten Angriffsversuchen, die von einer einzelnen IP-Adresse ausgehen. Die Angreifer versuchten, eine Textdatei unter /tmp/cve-2026-20230-test.txt auf den Zielsystemen anzulegen – ein Hinweis darauf, dass zunächst verwundbare Geräte identifiziert werden sollten.
Einer technischen Analyse von SSD Secure zufolge könnten Angreifer die Verarbeitung benutzerdefinierter URLs durch die WebDialer-Komponente missbrauchen. Durch die Kontrolle über Dateipfad und Inhalt lassen sich beliebige Dateien ablegen und letztlich Webshells beziehungsweise Schadcode mit Root-Rechten ausführen. Technische Details und ein Proof-of-Concept (PoC) sind bereits öffentlich verfügbar.
Was jetzt zu tun ist:
- bereitgestellte Updates umgehend installieren
- HTTP- und WebDialer-Protokolle auf verdächtige Anfragen untersuchen
Zugriff auf Unified-CM-Systeme beschränken
PRÄVENTION & DETEKTION
Eine EDR Lösung, wie Sentinel One oder Microsoft Defender, kann Angriffe auf bekannte und unbekannte Schwachstellen frühzeitig erkennen und deren Ausnutzung unterbinden. Moderne EDR-Lösungen überwachen Prozesse, Speicherzugriffe, Registry-Änderungen und Netzwerkverbindungen.
Autor: Michael Niers
