Cisco Unified Communications Products: Unzureichende Neutralisierung von Sonderzeichen in Ausgaben

Zusammenfassung

Cisco Emergency Responder, Prime Collaboration Deployment, Unified CM, Unified CM IM&P, Unified CM SME und Unity Connection enthalten in der Hardening-Version vom Oktober 2026 eine Schwachstelle, die unter CWE-74 (unzureichende Neutralisierung von Sonderzeichen in Ausgaben, die von einer nachgelagerten Komponente verwendet werden) gruppiert ist. Cisco stuft sie als kritisch ein (CVSS 9.8) und gibt an, dass sie netzwerkseitig ohne Berechtigungen und ohne Benutzerinteraktion erreichbar ist, mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit. Cisco hat keine technischen Details offengelegt, und die genaue Fehlerklasse wird noch geklärt, daher ist der genaue Angriffsweg unbekannt.

Betroffen

• Cisco Emergency Responder, Prime Collaboration Deployment, Unified CM, Unified CM IM&P, Unified CM SME und Unity Connection (unabhängig von der Gerätekonfiguration betroffen)
• Die Release-14- und 15-Zweige sind in den Tabellen der Advisory als betroffen aufgeführt; genaue betroffene Builds: in Cisco-Abschnitt Fixed Software prüfen
• Unified CM 15.0.1.13010-1 und 15.0.1.13011-1 sind als betroffen aufgeführt

Behoben in

• Release 15: 15SU5 (in Cisco-Abschnitt Fixed Software prüfen)
• Release 14: keine fixe Version genannt; gemäss Cisco auf eine fixe Version migrieren

Umgehung

Unbekannt. Cisco gibt an, dass keine Workarounds existieren, welche diese Schwachstellen beheben. Patchen ist die einzige echte Behebung; Netzwerksegmentierung sowie Einschränkung des Zugriffs auf Management- und Call-Control-Schnittstellen reduzieren die Exposition.

Ausnutzung

• Das Cisco PSIRT kennt keine öffentlichen Ankündigungen oder böswillige Nutzung.
• Intern bei Tests gefunden; CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung total.
• In den geprüften Quellen wurde kein öffentlicher Proof-of-Concept gefunden.

Unsere Empfehlung

• Alle Unified-CM-, IM&P-, SME-, Unity-Connection-, Emergency-Responder- und Prime-Collaboration-Deployment-Systeme erfassen und prüfen, ob sie oder ihre Management-Ports aus dem Internet erreichbar sind.
• Prioritär auf die fixe Version gemäss Cisco-Advisory patchen (15SU5 für Release 15) und Call-Flows vor dem Rollout testen.
• Für Release-14-Systeme eine Migration planen.
• Auf öffentlichen Proof-of-Concept-Code sowie Aktualisierungen der Advisory und des NVD-Eintrags achten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Cisco Security Advisory cisco-sa-voice-hardening-twgbH9e3 sec.cloudapps.cisco.com
• Cisco advisory (alternate URL) www.cisco.com
• NHS England cyber alert CC-4877 digital.nhs.uk
• OpenCVE CVE-2026-76473 app.opencve.io
• Vulners Cisco advisory summary vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 17:07.