Cisco Snort 3: Unzureichende Berechtigungsverwaltung in mehreren Cisco-Produkten

Zusammenfassung

Mehrere Cisco-Produkte, die die Snort-3-Inspektions-Engine verwenden, sind von einer Schwachstelle in der Berechtigungsverwaltung (CWE-269) betroffen, die in einem Snort-3-Härtungsrelease vom Oktober 2026 behoben wurde. Ein lokaler Angreifer mit niedrigen Rechten auf einem betroffenen Gerät könnte seine Privilegien erweitern und hohe Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit erzielen. Cisco bewertet die Schwachstelle mit 7.8 (High) und gibt an, dass keine Workarounds verfügbar sind, weshalb das Einspielen von Updates die einzige dokumentierte Massnahme ist.

Betroffen

• Open Source Snort 3
• Cisco Secure Firewall Threat Defense (FTD) Software
• Cisco Cyber Vision
• UTD Snort IPS Engine auf Cisco IOS XE
• Cisco CDFW, Cisco Secure Access und Cisco Meraki MX sind im Advisory als betroffen aufgeführt, doch Cisco gibt für diese Cloud- bzw. verwalteten Produkte an, dass keine Massnahmen durch Kunden nötig sind
• Genaue betroffene Versionsbereiche: Die Tabellen im Cisco-Advisory prüfen, da die vollständige Liste hier nicht verifiziert wurde

Behoben in

• Open Source Snort 3: 3.12.4.0
• Secure FTD: 7.0.10, 7.2.12, 7.4.8, 7.6.6, 7.7.13, 10.0.2 und 10.1.0 für die jeweiligen Linien; ältere Versionen müssen migriert werden
• Cyber Vision: 5.6.0; ältere Versionen müssen auf eine korrigierte Version migriert werden
• UTD auf IOS XE: Unbekannt (Tabelle im Cisco-Advisory prüfen)

Umgehung

Cisco gibt an, dass keine Workarounds verfügbar sind, um diese Schwachstellen zu beheben. Übergangsmassnahme (eigene Einschätzung, nicht von Cisco): lokalen Zugriff auf betroffene Geräte und deren Administratorkonten einschränken.

Ausnutzung

• Das Cisco PSIRT ist keine öffentlichen Ankündigungen oder böswilligen Nutzungen bekannt.
• Die Schwachstellen wurden von Cisco im Rahmen eines internen Sicherheitsreviews gefunden.
• CISA-SSVC-Bewertung: keine Ausnutzung, nicht automatisierbar, totale technische Auswirkung.
• Kein öffentlicher Proof of Concept gefunden; der Status im CISA-KEV-Katalog wurde nicht verifiziert.

Unsere Empfehlung

• Alle Snort-3-basierten Produkte (FTD, Cyber Vision, UTD auf IOS XE, Open Source Snort 3) und deren Versionen inventarisieren.
• On-Premises-FTD- und IOS-XE-Geräte im nächsten Wartungsfenster patchen; Perimeter-Geräte priorisieren.
• Cyber Vision Releases vor 5.6 auf 5.6.0 oder neuer aktualisieren.
• Vor dem Patchen von IOS XE die korrigierte UTD-Version im Cisco-Advisory bestätigen.
• Lokalen Zugriff und Administratorzugriff auf betroffene Geräte einschränken und auf ungewöhnliche Rechteänderungen achten.
• Dieses Thema zusammen mit den übrigen Snort-3-Advisories vom Oktober 2026, einschliesslich CVE-2026-20043, als ein gemeinsames Patch-Projekt behandeln.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Cisco Security Advisory cisco-sa-hardening-snort3-ybgmhTQe sec.cloudapps.cisco.com
• Cisco Security Advisory (cisco.com mirror) www.cisco.com
• OpenCVE CVE-2026-20291 app.opencve.io
• Vulners Rapid7 CVE-2026-20291 vulners.com
• HOL Guard CVE-2026-20291 hol.org

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 22:51.