Cisco Catalyst SD-WAN Manager: Offenlegung von Informationen über die API

Zusammenfassung

Cisco Catalyst SD-WAN Manager (ehemals vManage) weist eine unzureichende Einschränkung des Dateisystemzugriffs auf, wodurch ein nicht authentifizierter Angreifer aus der Ferne über die API sensitive Informationen auf dem zugrunde liegenden Betriebssystem lesen kann. Cisco meldet aktive Ausnutzung, und die CISA hat die Schwachstelle in ihren Katalog bekannter ausgenutzter Schwachstellen aufgenommen. Eine der gelieferten Beschreibungen erwähnt zusätzlich einen Zugriff durch einen authentifizierten netadmin-Benutzer über vshell, doch dieser Wortlaut findet sich nicht in der Cisco-Beratung und sollte daher anhand der Beratung überprüft werden.

Betroffen

• Gemäss CVE-Eintrag: 17.2.4 bis 17.2.10 sowie 18.3.1.1 bis 18.3.5 (genaue Builds anhand der Cisco-Beratung überprüfen)
• Cisco gibt an, dass Releases 20.18 und neuer nicht betroffen sind (in der Beratung überprüfen)

Behoben in

Unbekannt. Cisco hat korrigierte Software veröffentlicht; die korrigierte Version pro Release für diese CVE muss in der Tabelle der Cisco-Beratung bestätigt werden. Sekundärquellen nennen 20.9.8.2, 20.12.5.3, 20.12.6.1, 20.15.4.2 und 20.18.2.1, die Zuordnung zu CVE-2026-20133 ist jedoch nicht bestätigt.

Umgehung

• Laut Cisco sind keine Workarounds verfügbar.
• Den Zugriff auf die Management-Oberfläche und die API auf dedizierte Management-Netze beschränken (allgemeine Härtung, nicht von Cisco verifiziert).

Ausnutzung

• Das Cisco PSIRT wurde im April 2026 auf aktive Ausnutzung aufmerksam.
• CISA KEV: aufgenommen am 2026-04-20, Fälligkeitsdatum 2026-04-23.
• Öffentlicher Proof of Concept: Unbekannt.
• Einsatz in Ransomware-Kampagnen: Unbekannt.

Unsere Empfehlung

• Alle Catalyst SD-WAN Manager-Instanzen und deren genaue Versionen inventarisieren.
• Auf das korrigierte Release für Ihren Zweig aktualisieren, wie in der Cisco-Beratung aufgeführt.
• Sicherstellen, dass die Management-Oberfläche und die API nicht aus dem Internet erreichbar sind.
• Logs auf unauthentifizierte oder ungewöhnliche API-Zugriffe prüfen und jeden Hinweis auf eine Kompromittierung als Sicherheitsvorfall behandeln.
• Die CISA-Vorgaben für Cisco SD-WAN befolgen und die Beratung auf Aktualisierungen prüfen.
• Wenn Sie keinen Catalyst SD-WAN Manager betreiben, ist keine Massnahme erforderlich.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Cisco Security Advisory cisco-sa-sdwan-authbp-qwCX8D4v sec.cloudapps.cisco.com
• CISA Known Exploited Vulnerabilities Catalog entry CVE-2026-20133 www.cisa.gov
• CISA alert: eight known exploited vulnerabilities added to catalog www.cisa.gov
• Help Net Security: CISA flags Cisco Catalyst SD-WAN Manager bug as exploited www.helpnetsecurity.com
• Deepwatch customer advisory on Cisco SD-WAN active exploitation www.deepwatch.com
• Hivepro threat advisory on actively exploited Catalyst SD-WAN Manager flaws www.hivepro.com
• CIRCL CVE record CVE-2026-20133 cve.circl.lu

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 20:02.