Cisco Catalyst SD-WAN Manager: Beliebiges Ueberschreiben von Dateien in der API

Zusammenfassung

Eine Schwachstelle in der API von Cisco Catalyst SD-WAN Manager (früher vManage) erlaubt einem authentisierten Angreifer aus der Ferne, beliebige Dateien auf dem lokalen Dateisystem zu überschreiben. Der Angreifer benötigt gültige Read-only-Zugangsdaten mit API-Zugriff; durch das Hochladen einer manipulierten Datei kann er Benutzerrechte des Typs vmanage erlangen. Cisco und CISA bestätigen eine aktive Ausnutzung, und es existiert kein Workaround.

Betroffen

• Cisco Catalyst SD-WAN Manager, unabhängig von der Gerätekonfiguration, inklusive On-Prem- und Cloud-verwalteter Bereitstellungen
• Die betroffenen Releases sind im Cisco-Advisory cisco-sa-sdwan-authbp-qwCX8D4v aufgeführt; der CVE-Eintrag nennt Releases der Reihen 20.1.x, 19.2.x, 19.3.0, 18.4.x und 18.3.x (Standard: unbekannt)

Behoben in

• Auf das korrigierte Release der eigenen Linie aktualisieren, wie in der Versionstabelle des Cisco-Advisory angegeben
• Drittquellen nennen 20.9.8.2, 20.12.5.3, 20.12.6.1, 20.15.4.2 und 20.18.2.1 als erste korrigierte Releases; vor der Änderung gegen die Cisco-Tabelle prüfen
• Die Anwendbarkeit auf 20.18.x ist nicht bestätigt

Umgehung

Unbekannt. Cisco gibt an, dass keine Workarounds verfügbar sind. Härtungsmassnahmen reduzieren die Exposition, beheben die Schwachstelle aber nicht.

Ausnutzung

• Cisco und CISA bestätigen eine aktive Ausnutzung; die CISA hat die Schwachstelle am 2026-04-20 in den KEV-Katalog aufgenommen, mit Frist 2026-04-23
• VulnCheck berichtet, dass das Team im Rahmen von Forschungsarbeiten die Schwachstelle genutzt hat, um eine Webshell hochzuladen; eine öffentliche Proof-of-Concept-Veröffentlichung ist nicht bestätigt
• Einsatz in Ransomware-Kampagnen: unbekannt. Angreifergruppe: nicht zugeordnet

Unsere Empfehlung

• Alle Instanzen von SD-WAN Manager mit ihren Versionen inventarisieren, inklusive cloud-verwalteter Instanzen
• Jetzt auf ein korrigiertes Release aktualisieren und die Versionstabelle des Cisco-Advisory für das eigene Release prüfen
• Bis zur Korrektur den Zugriff auf die Management-Schnittstellen einschränken, HTTP deaktivieren und Read-only-API-Konten überprüfen
• Auf Kompromittierung prüfen: Die Datei /var/log/nms/containers/service-proxy/serviceproxy-access.log auf Verweise auf den Upload-API-Pfad untersuchen und nach unerwarteten Dateiänderungen auf dem Manager suchen
• Zugangsdaten der Read-only-API-Konten rotieren und Administratorkonten überprüfen

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Cisco Security Advisory cisco-sa-sdwan-authbp-qwCX8D4v sec.cloudapps.cisco.com
• CISA Known Exploited Vulnerabilities Catalog entry CVE-2026-20122 www.cisa.gov
• NVD entry CVE-2026-20122 nvd.nist.gov
• The Hacker News: Cisco confirms active exploitation thehackernews.com
• Help Net Security: CVE-2026-20128 and CVE-2026-20122 exploited www.helpnetsecurity.com
• VulnCheck: Cisco SD-WAN Manager vulnerabilities www.vulncheck.com
• Deepwatch customer advisory CA-A-010 www.deepwatch.com
• Fidelis Security: CVE-2026-20122 fidelissecurity.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 20:05.