BEDROHUNG
Angreifer nutzen eine kritische Schwachstelle in Ciscos Netzwerkmanagement-Software Catalyst SD-WAN Manager bereits als Zero-Day aus, um Administratorrechte auf den betroffenen Systemen zu erlangen. Die Lücke trägt die Kennung CVE-2026-76504 und erhält einen CVSS-Score von 9.8. Sicherheitsupdates liegen vor.
Ursache ist laut Cisco eine fehlerhafte Verarbeitung URI-kodierter Zeichen in HTTP-Requests. Dadurch lässt sich eine Authentifizierungsregel umgehen, die den Zugriff auf einen bestimmten API-Endpunkt beschränken soll. Ein nicht authentifizierter Angreifer schickt speziell präparierte HTTP-Requests an die API und erhält bei erfolgreicher Ausnutzung die Rechte des Administrator-Accounts. Betroffen sind sämtliche Catalyst-SD-WAN-Manager-Installationen, unabhängig von ihrer Konfiguration.
Details zu den beobachteten Angriffen hat Cisco bisher nicht veröffentlicht, stellt aber Indicators of Compromise (IoC) bereit. In einem Beispiel verwenden die Angreifer %6a als URI-kodiertes Zeichen für „j“ und senden Anfragen an /%6a_security_check. Zusätzlich sollten Administratoren auf potenziell kompromittierten Systemen die Dateien „serviceproxy-access.log“ unter „/var/log/nms/containers/service-proxy“ sowie „vmanage-server.log“ unter „/var/log/nms/“ auf Zugriffe im Zusammenhang mit „j_security_check“ von unbekannten oder nicht autorisierten IP-Adressen prüfen.
Einen Workaround gibt es laut Cisco nicht. Administratoren wird deshalb empfohlen, betroffene Systeme umgehend auf eine gepatchte Version zu aktualisieren. Wer ein Update derzeit nicht einspielen kann, sollte den öffentlichen Zugriff auf bekannte Hosts beschränken. Bei Verdacht auf eine Kompromittierung empfiehlt Cisco, eine admin-tech-Datei zu erstellen und vom Cisco TAC auf weitere Hinweise untersuchen zu lassen. Die Details stehen im Cisco Security Advisory; BleepingComputer berichtet ebenfalls über den Fall.
Was jetzt zu tun ist:
- Betroffene Systeme umgehend auf eine gepatchte Version aktualisieren
- Internetzugriff auf bekannte beziehungsweise vertrauenswürdige Hosts beschränken
- serviceproxy-access.log und vmanage-server.log auf verdächtige Zugriffe prüfen
PRÄVENTION & DETEKTION
Eine EDR Lösung erkennt präparierte HTTP-Requests sowie nachgelagerte Aktivitäten wie Netzwerkaufklärung, Befehlsausführung oder den Aufbau von Tunneln.
Security Monitoring erkennt ungewöhnliche Verbindungen, auffällige Anmeldeversuche und verdächtige Kommunikationsmuster, sodass Gegenmaßnahmen schnell eingeleitet werden können.
Autor: Michael Niers
