Cisco Catalyst SD-WAN Manager: Wiederherstellbare Speicherung von DCA-Anmeldedaten

Zusammenfassung

Cisco Catalyst SD-WAN Manager speichert das Passwort des Data Collection Agent (DCA) Benutzers in einem wiederherstellbaren Format, und zwar in einer Anmeldedatei auf dem Dateisystem. Ein Angreifer mit gültigem, niedrig privilegiertem Zugriff auf den Manager kann diese Datei auslesen und DCA-Benutzerrechte erlangen, die anschliessend gegen weitere betroffene Manager-Systeme eingesetzt werden können. Cisco hat aktive Ausnutzung bestätigt, und die CISA führt die Schwachstelle im KEV-Katalog. Hinweis: Der ursprüngliche Bericht beschrieb einen nicht authentifizierten Angreifer aus der Ferne, die aktuellen Beschreibungen von NVD und CISA KEV beschreiben jedoch einen authentifizierten lokalen Angreifer, weshalb diese Version verwendet wird.

Betroffen

• Cisco Catalyst SD-WAN Manager Versionen vor 20.18
• Der CNA-Eintrag listet betroffene Versionen unter anderem 18.3.6, 18.3.7, 18.4.4, 18.4.5, 19.2.0, 19.3.0, 20.1.1 und 20.1.12; Standardstatus unbekannt
• Versionen 20.18 und neuer sind nicht betroffen

Behoben in

Unbekannt. Die exakten Versionen pro Zweig stehen im Abschnitt zur fixen Software der Cisco-Warnmeldung. Nicht verifizierte Sekundärberichte nennen 20.9.8.2, 20.12.6.1 und 20.15.4.2.

Umgehung

• Keiner. Cisco gibt an, dass es keine Workarounds für diese Schwachstelle gibt.

Ausnutzung

• Das Cisco PSIRT kennt aktive Ausnutzung seit März 2026.
• Die CISA hat die CVE am 2026-04-20 in den KEV-Katalog aufgenommen, mit einer Frist für Bundesbehörden bis 2026-04-23.
• Öffentlicher Proof-of-Concept-Code wird nur von Sekundärquellen gemeldet; nicht verifiziert.

Unsere Empfehlung

• Alle SD-WAN-Manager-Instanzen und deren Versionen inventarisieren; alles vor 20.18 prüfen.
• Auf eine in der Cisco-Warnmeldung aufgeführte fixe Version aktualisieren, exponierte oder produktiv genutzte Systeme zuerst.
• Managementzugriff auf vertrauenswürdige Administrationsnetze beschränken und Konten mit niedrigen Rechten überprüfen.
• Gemäss den Hunting-Leitfäden von Cisco und CISA auf Compromise-Indikatoren prüfen und bei möglicher Kompromittierung die DCA- und weiteren Manager-Anmeldedaten rotieren.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Cisco Security Advisory cisco-sa-sdwan-authbp-qwCX8D4v sec.cloudapps.cisco.com
• CISA Known Exploited Vulnerabilities Catalog entry www.cisa.gov
• NVD entry CVE-2026-20128 nvd.nist.gov
• Tenable blog on Cisco SD-WAN Manager vulnerabilities www.tenable.com
• VulnCheck analysis of Cisco SD-WAN Manager vulnerabilities www.vulncheck.com
• SOCRadar analysis of CVE-2026-20122 socradar.io
• Australian Cyber Security Centre: exploitation of Cisco SD-WAN appliances www.cyber.gov.au
• The Hacker News: CISA adds exploited flaws to KEV thehackernews.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 20:01.