Cisco License On-Prem: Nicht authentifizierter Schreibzugriff auf Dateien in der Management-API

Zusammenfassung

Cisco License On-Prem, früher Cisco Smart Software Manager On-Prem (SSM On-Prem), enthält eine Schwachstelle in der Management-API. Ein nicht authentifizierter Angreifer aus dem Netzwerk kann mit einer manipulierten Anfrage beliebige Dateien auf dem System schreiben oder einen Denial-of-Service auslösen. Cisco führt die Ursache auf unzureichende Eingabevalidierung und fehlende Authentifizierung zurück und gibt an, dass der eigenständige Smart Licensing Utility nicht betroffen ist.

Betroffen

• Cisco License On-Prem, unabhängig von der Konfiguration (früher SSM On-Prem).
• SSM On-Prem 9-202601 und älter, gemäss Sekundärberichten.
• Genaue Liste der betroffenen Releases der 10er-Reihe: Unbekannt, siehe Cisco-Advisory. Sekundärberichte nennen Releases vor 10-202608.

Behoben in

• 9er-Reihe: Migration auf ein korrigiertes Release. Die genaue Version ist im Auszug des Advisory nicht bestätigt.
• 10er-Reihe: 10-202608 gemäss Sekundärberichten. In der Cisco-Advisory-Tabelle prüfen. Das begleitende Hardening-Release 10-202609 wird ebenfalls genannt.

Umgehung

• Keiner. Cisco gibt an, dass keine Workarounds diese Schwachstelle beheben.
• Übergangsmassnahme (eigene Einschätzung, nicht vom Hersteller): Netzwerkzugriff auf die Management-Schnittstelle und die API auf vertrauenswürdige Administrator-Hosts beschränken.

Ausnutzung

• Das Cisco PSIRT ist keine öffentlichen Ankündigungen oder böswillige Nutzung der im Advisory beschriebenen Schwachstellen bekannt.
• CISA-SSVC-Bewertung: Exploitation none, automatable yes, technical impact total.
• In der Recherche wurde kein öffentlicher Proof of Concept gefunden. Dies ist eine Lücke der Suche, kein Beweis, dass keiner existiert.

Unsere Empfehlung

• Alle Instanzen von License On-Prem und SSM On-Prem erfassen und prüfen, ob sie aus nicht vertrauenswürdigen Netzen erreichbar sind.
• Den Zugriff auf die Management-Schnittstelle und die API sofort auf vertrauenswürdige Administrator-Hosts beschränken.
• Das im Cisco-Advisory genannte korrigierte Release so rasch wie möglich einspielen, gegebenenfalls inklusive Migration der 9er-Reihe.
• Logs auf unerwartete API-Anfragen und Dateiänderungen überwachen und GitHub sowie den CISA-KEV-Katalog auf neue Exploit-Meldungen prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Cisco Security Advisory cisco-sa-ssm-access-nttb2dhE sec.cloudapps.cisco.com
• Cisco advisory (cisco.com mirror) www.cisco.com
• Cisco License On-Prem 10-202609 Release Notes www.cisco.com
• eSecurityPlanet: Cisco SSM On-Prem critical flaws www.esecurityplanet.com
• Secure-ISS: Cisco License On-Prem critical vulnerabilities www.secure-iss.com
• OpenCVE: CVE-2026-76454 app.opencve.io
• Strix: CVE-2026-76454 www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 07:16.