Cisco Catalyst SD-WAN Manager: Authentifizierungsumgehung bei der Peering-Authentifizierung

Zusammenfassung

Eine kritische Schwachstelle in der Peering-Authentifizierung von Cisco Catalyst SD-WAN Controller, SD-WAN Manager und SD-WAN Validator erlaubt einem nicht authentifizierten Angreifer aus der Ferne, die Authentifizierung zu umgehen und administrative Rechte zu erlangen. Der Angreifer kann sich als interner, hoch privilegierter Nicht-Root-Benutzer anmelden und über NETCONF die Konfiguration der SD-WAN-Struktur verändern. Systeme, die aus dem Internet erreichbar sind oder deren Management-Ports offen stehen, sind besonders gefährdet. Cisco meldet eine begrenzte Ausnutzung in freier Wildbahn, und CISA hat die Schwachstelle in den Katalog der bekanntermassen ausgenutzten Schwachstellen (Known Exploited Vulnerabilities) aufgenommen.

Betroffen

• Cisco Catalyst SD-WAN Controller, Catalyst SD-WAN Manager und Catalyst SD-WAN Validator, unabhängig von der Gerätekonfiguration
• On-Premises-Bereitstellungen sowie Cisco Hosted SD-WAN Cloud (Cisco Managed- und FedRAMP-Umgebungen)
• Genaue betroffene Versionen: siehe Abschnitt Fixed Software im Cisco-Advisory

Behoben in

• Auf eine korrigierte Softwareversion aktualisieren, wie im Cisco-Advisory cisco-sa-sdwan-rpa-EHchtZk aufgeführt
• In Sekundärquellen genannte korrigierte Versionen (vor Änderungen gegen das Cisco-Advisory prüfen): 20.9.8.2 (20.9-Linie); 20.12.5.3 (20.12.5); 20.12.6.1 (20.12.6); 20.15.4.2 (20.13 bis 20.15); 20.18.2.1 (20.16 und 20.18)
• Die Versionen 20.11 und älter, 20.13, 20.14 und 20.16 sind nicht mehr im Software-Support: auf eine unterstützte Version migrieren
• Die Korrekturen für die separate Schwachstelle CVE-2026-20182 nicht als Ersatz verwenden

Umgehung

Unbekannt. Cisco gibt an, dass keine Workarounds gegen diese Schwachstelle existieren. Temporäre Massnahmen sind im Cisco-Advisory aufgeführt.

Ausnutzung

• Seit 2026-02-25 im CISA-KEV-Katalog aufgeführt
• Das Cisco PSIRT kennt eine begrenzte Ausnutzung
• Bewertung nach CISA SSVC: Ausnutzung aktiv, automatisierbar, totale technische Auswirkung
• Berichtete Verkettung mit CVE-2022-20775 zur Eskalation auf Root
• Indikatoren: SSH-Anmeldungen des internen Kontos vmanage-admin von unbekannten IP-Adressen sowie unerwartete Peering-Ereignisse

Unsere Empfehlung

• Betroffene Systeme ohne Verzug auf eine korrigierte Version aktualisieren; es existiert kein Workaround
• Management-Zugriff (SSH-Port 22 und NETCONF-Port 830) sowie Steuerungsschnittstellen auf vertrauenswürdige Netze beschränken; nicht aus dem Internet erreichbar machen
• In /var/log/auth.log nach Accepted-publickey-Einträgen für vmanage-admin von unbekannten IP-Adressen suchen und mit den konfigurierten System-IPs abgleichen
• Alle Peering-Ereignisse der Steuerungsverbindungen manuell validieren
• Bei Verdacht auf Kompromittierung die admin-tech-Datei erstellen und einen Fall beim Cisco TAC eröffnen

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.

• Proof of Concept auf GitHub (9 Repositories) iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).
  zerozenxlabs/CVE-2026-20127---Cisco-SD-WAN-Preauth-RCE · randeepajayasekara/CVE-2026-20127 · BugFor-Pings/CVE-2026-20127_EXP · yonathanpy/CVE-2026-20127-Cisco-SD-WAN-Preauth-RCE · abrahamsurf/sdwan-scanner-CVE-2026-20127
• Metasploit-Modul auxiliary/admin/networking/cisco_sdwan_auth_bypass

Quellen der Recherche

• Cisco Security Advisory cisco-sa-sdwan-rpa-EHchtZk sec.cloudapps.cisco.com
• CISA Known Exploited Vulnerabilities Catalog entry CVE-2026-20127 www.cisa.gov
• Canadian Cyber Centre alert AL26-004 www.cyber.gc.ca
• Singapore CSA alert AL-2026-019 www.csa.gov.sg
• Rapid7 analysis of CVE-2026-20127 www.rapid7.com
• Censys advisory CVE-2026-20127 censys.com
• CIS advisory on Cisco Catalyst SD-WAN authentication bypass www.cisecurity.org
• The Hacker News: Cisco SD-WAN zero-day CVE-2026-20127 thehackernews.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 19:52.