Slican-Telefonanlagen: Fest codierter kryptografischer Schlüssel in TCP/IP-Kommunikation
Zusammenfassung
Slican-Telefonanlagen verwenden für die TCP/IP-Kommunikation einen symmetrischen Schlüssel, der fest in mehreren Binärdateien codiert ist. Ein Angreifer, der Zugriff auf diese Dateien erhält, kann die Kommunikation entschlüsseln, was zu einem Verlust der Vertraulichkeit führt. Die Serie IPx ist in Version 6.62.0100 behoben, während die End-of-Life-Modelle CCT-1668, MAC-6400 und CXS-0424 ungepatcht bleiben.
Betroffen
- IPx: alle Versionen unter 6.62.0100
- CCT-1668 (CCT1CPU): alle Versionen (CVE-Eintrag nennt bis einschliesslich 6.56.0430)
- MAC-6400: alle Versionen (CVE-Eintrag nennt bis einschliesslich 6.56.0430)
- CXS-0424: alle Versionen (CVE-Eintrag nennt bis einschliesslich 6.30.0510)
Behoben in
- IPx: behoben in Version 6.62.0100
- CCT-1668, MAC-6400, CXS-0424: keine Behebung verfügbar; der Hersteller gibt an, dass diese eingestellten Modelle für Software-Updates eine Hardware-Aktualisierung benötigen
Umgehung
- Kein vom Hersteller dokumentierter Workaround.
- Für End-of-Life-Modelle den Serviceverantwortlichen von Slican bezüglich Upgrade-Möglichkeiten kontaktieren.
- Netzwerkzugriff auf die TCP/IP-Schnittstelle der Anlage einschränken und den Zugriff auf Firmware-Abbilder und Binärdateien begrenzen (eigene Analyse, keine Herstellerquelle).
Ausnutzung
- Keine bekannte Ausnutzung in freier Wildbahn.
- VulDB gibt an, dass kein Exploit existiert.
- Laut Strix nicht im CISA-KEV-Katalog; nicht direkt bei CISA überprüft.
- EPSS 0.00117.
- CISA SSVC: Ausnutzung keine, nicht automatisierbar, partielle technische Auswirkung.
Unsere Empfehlung
- Alle Slican-Geräte inventarisieren und Modell sowie Firmware-Version erfassen.
- IPx-Systeme auf 6.62.0100 oder höher aktualisieren.
- CCT-1668, MAC-6400 und CXS-0424 als ungepatcht behandeln: Ersatz planen und den Netzwerkzugriff bis dahin einschränken.
- End-of-Life-Geräte zusätzlich auf CVE-2026-35089 (vorhersagbare Schlüsselerzeugung, Mai 2026) prüfen.
- Sicherstellen, dass WebCTI (zeitgleich veröffentlichte CVE-2026-63314 und CVE-2026-63315) und Management-Schnittstellen nicht aus dem Internet erreichbar sind.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CERT Polska advisory CVE-2026-35088 cert.pl
- VulDB entry 420562 vuldb.com
- Mallory summary mallory.ai
- Strix CVE-2026-35088 www.strix.ai
- OffSeq radar CVE-2026-35088 radar.offseq.com
- Vulners PT-2026-114861 vulners.com
- CERT Polska advisory CVE-2026-35087 (May 2026) cert.pl
- Strix CVE-2026-35089 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 16:03.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.