Extreme Networks Switch Engine (EXOS): Fehlende Autorisierung in JSON-RPC-Schnittstelle

Zusammenfassung

Die JSON-RPC-Webdienstschnittstelle von Extreme Networks Switch Engine (EXOS) erzwingt die für die Kommandozeile geltenden Einschränkungen für Nur-Lese-Konten nicht. Ein authentifizierter Benutzer mit einem Nur-Lese-Konto, der die Management-Schnittstelle erreichen kann, kann Show-Befehle ausführen, die dieser Rolle verwehrt sind. Dadurch können die Gerätekonfiguration und Passwort-Hashes lokaler Konten offengelegt werden, die offline geknackt werden können; ein schwaches Passwort könnte zu administrativem Zugriff auf das Gerät führen.

Betroffen

• Switch Engine (EXOS) 33.7.0 bis vor 33.7.1-patch1-11
• Switch Engine (EXOS) 33.1.0 bis vor 33.1.100-patch1-9
• Switch Engine (EXOS) 32.0.0 bis vor 32.7.4.15-patch1-11
• Der Hersteller-Advisory nennt zudem 34.1.1 als behoben; ob 34.x betroffen ist, ist unbekannt.

Behoben in

• Switch Engine 33.7.1-patch1-11
• Switch Engine 33.1.100-patch1-9
• Switch Engine 32.7.4.15-patch1-11
• Aktuelle Herstellerempfehlungen nennen spätere Builds (zum Beispiel 32.7.4.15-Patch1-14 und 33.7.1.6-Patch1-32); vor der Wahl des Ziels die plattformspezifische Liste prüfen.

Umgehung

• Zugriff auf die Management-Schnittstelle auf vertrauenswürdige Netze und Hosts beschränken.
• Die Webdienst-Schnittstelle (JSON-RPC) deaktivieren, wo sie nicht benötigt wird.
• Nur-Lese-Konten auf Benutzer beschränken, die sie benötigen.
• Starke, eindeutige Passwörter für alle lokalen Konten erzwingen.

Ausnutzung

• Laut OffSeq ist keine Ausnutzung bekannt; die Evidenz wird als dünn beschrieben.
• Zum Zeitpunkt der Recherche wurden kein öffentlicher Proof of Concept und kein Eintrag im CISA-KEV-Katalog gefunden.
• Die Ausnutzung erfordert ein gültiges Nur-Lese-Konto und Zugriff auf die Management-Schnittstelle.

Unsere Empfehlung

• Prüfen, ob die Webdienst-/JSON-RPC-Schnittstelle aktiviert und aus Benutzernetzen, dem Internet oder VPNs erreichbar ist.
• Nur-Lese-Konten prüfen und nicht benötigte Konten entfernen.
• Auf eine korrigierte Version aktualisieren und den genauen Build für die eigene Plattform verifizieren.
• Nach dem Update lokale Passwörter, insbesondere administrative Konten, neu setzen, auch wenn keine Offenlegung bestätigt ist.
• Authentifizierungs- und Zugriffsprotokolle auf ungewöhnliche Show-Befehle überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.

• Proof of Concept auf GitHub (1 Repositories) iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).
  toanln-cov/CVE-2026-105440

Quellen der Recherche

• CVE Record CVE-2026-105440 www.cve.org
• Extreme Networks Security Advisory SA-2026-233 extreme-networks.my.site.com
• Extreme Networks Community: SA-2026-233 advisory community.extremenetworks.com
• OffSeq Radar: CVE-2026-105440 radar.offseq.com
• Extreme Networks compatibility matrix (sw-release-extremexos-eos) www.extremenetworks.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 17:20.