Cisco Snort 3: Out-of-Bounds-Write in Intrusion-Prevention-Engine

Zusammenfassung

Die Snort-3-Intrusion-Prevention-Engine in mehreren Cisco-Firewall-, Cloud-, Meraki-MX-, Cyber-Vision- und IOS-XE-Produkten enthält Out-of-Bounds-Write-Schwachstellen (CWE-787), die bei einer internen Überprüfung gefunden wurden. Cisco hat die technischen Details nicht veröffentlicht. Der CVSS-Vektor stuft den Angriff als über das Netzwerk möglich, ohne Berechtigungen und ohne Benutzerinteraktion, aber mit hoher Komplexität ein; die Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit werden als hoch bewertet. Cisco hat die genaue Auswirkung nicht bestätigt.

Betroffen

• Open Source Snort 3 (betroffene Releases gemäss Advisory; Snort 2 ist nicht betroffen)
• Cisco Secure Firewall Threat Defense (FTD) Software
• Cisco Cyber Vision
• Cisco Meraki MX Security Appliances
• Unified Threat Defense (UTD) auf Cisco IOS XE Software
• Cisco Cloud-delivered Firewall (CDFW) und Cisco Secure Access (CSA): Cloud-Dienste, keine Massnahmen durch Kunden nötig

Behoben in

• Open Source Snort 3: 3.12.4.0
• Cisco Cyber Vision: 5.6.0 (ältere Versionen müssen auf eine korrigierte Version migriert werden)
• FTD, UTD auf IOS XE: Die erste korrigierte Version für Ihren Release-Zweig steht im Cisco-Advisory; Versionsangaben aus Drittquellen sind nicht verifiziert
• CDFW und CSA: Von Cisco bereits seit dem 21. Oktober 2026 automatisch aktualisiert
• Meraki MX: Online-Geräte wurden automatisch aktualisiert

Umgehung

• Keine. Cisco gibt an, dass es für diese Schwachstellen keine Workarounds gibt. Das Einspielen von Updates ist die einzige Massnahme.

Ausnutzung

• Das Cisco PSIRT kennt keine öffentlichen Ankündigungen oder böswillige Nutzung.
• Nicht als aktiv ausgenutzt gelistet.
• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
• Kein öffentlicher Proof of Concept gefunden.

Unsere Empfehlung

• Erfassen Sie alle Snort-3-Installationen, einschliesslich FTD, Meraki MX, Cyber Vision, UTD auf IOS XE und Open-Source-Snort-Builds.
• Ordnen Sie jedes Gerät der korrigierten Version im Cisco-Advisory zu, nicht in Tabellen von Drittanbietern.
• Aktualisieren Sie zuerst aus dem Internet erreichbare Firewalls und Meraki-Geräte und planen Sie ein Wartungsfenster, da die Engine während des Upgrades neu startet.
• Beobachten Sie das Cisco-Advisory auf Aktualisierungen, da Cisco weitere Details angekündigt hat.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Cisco Security Advisory cisco-sa-hardening-snort3-ybgmhTQe sec.cloudapps.cisco.com
• Cisco Security Advisory cisco-sa-hardening-snort3-ybgmhTQe (Cisco support docs) www.cisco.com
• Snort 2 end-of-life announcement blog.snort.org
• VulDB entry 424878 vuldb.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 08:05.