Vertiv Avocent ACS8000: OS Command Injection in wsserver

Zusammenfassung

Der Terminal-Bridge-Daemon wsserver auf Vertiv Avocent ACS8000 Console Servern erstellt Shell-Befehle aus vom Client gelieferten WebSocket-Eingaben ohne Validierung oder Escaping und läuft mit Root-Rechten. Gemäss CNA-Eintrag kann ein Angreifer mit Netzwerkzugriff auf den betroffenen Pfad beliebige Befehle als Root ausführen, da der Public-Key-Sitzungspfad keine Appliance-Sitzungsprüfung durchführt. Die Schwachstelle wurde vom Hersteller nicht bestätigt und nicht vollständig auf einem Live-Gerät validiert.

Betroffen

• Vertiv Avocent ACS8000: Versionen 0 bis 2.32.4 (gemäss CNA-Eintrag; Standard nicht betroffen)
• ACS800: Firmware 2.32.4 (gemäss runZero-Blog)

Behoben in

Unbekannt. Für diese CVE wurde kein Herstellerhinweis und keine korrigierte Version veröffentlicht. Vertiv führt 2.32.6 (15. Sep 2026) als neueste Version auf, die Release Notes erwähnen diese CVE jedoch nicht. Vor einem Vertrauen darauf bei Vertiv-Support nachfragen.

Umgehung

Kein Workaround des Herstellers gefunden. Praktische Massnahmen:

• Jegliche Internetexposition des Web-/Management-Ports entfernen, inklusive NAT, Portweiterleitungen, Cloud- und VPN-Pfaden.
• Die Appliance in einem isolierten Management-Netz platzieren, das nur von Admin-Jump-Hosts erreichbar ist.
• Den Zugriff in der Firewall auf bekannte Admin-IP-Adressen beschränken.
• Logs auf unerwartete WebSocket- oder Terminal-Viewer-Anfragen sowie auf unbekannte Konten oder Prozesse prüfen.

Ausnutzung

• Nicht als ausgenutzt bekannt (HOL, OffSeq).
• CISA SSVC: automatisierbar ja, technische Auswirkung total.
• Ein öffentlicher PoC-Eintrag existiert, konnte jedoch nicht verifiziert werden.
• Der runZero-Advisory enthält technische Details zur Ursache.
• Scan-Aktivität: unbekannt.

Unsere Empfehlung

• Internetexposition von ACS8000-Appliances umgehend entfernen und Portweiterleitungen prüfen.
• Die Appliances in einem Management-Netz isolieren und den Zugriff auf Admin-Hosts beschränken.
• Vertiv schriftlich fragen, ob 2.32.6 CVE-2026-65184 behebt, und nach Bestätigung patchen.
• Logs auf verdächtige WebSocket-Anfragen sowie unbekannte Konten oder Prozesse prüfen; bei Verdacht auf Kompromittierung Zugangsdaten rotieren.
• Als kritisch behandeln, wo von aussen erreichbar, und als hoch auf flachen oder Benutzer-Netzen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• runZero advisory: Avocent ACS8000 wsserver command injection www.runzero.com
• runZero blog: Lights Out: The server in your server, exposed and disclosed www.runzero.com
• VulDB entry for CVE-2026-65184 vuldb.com
• OpenCVE: CVE-2026-65184 app.opencve.io
• OffSeq Radar: CVE-2026-65184 radar.offseq.com
• HOL Guard: CVE-2026-65184 hol.org
• Vertiv ACS8000 Release Notes v2.32.6 downloads2.vertivco.com
• Vertiv ACS 8000 software downloads www.vertiv.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 16:34.