Cisco Open Source Snort 3: Beliebige Befehlsausführung über Control-Channel-Socket

Zusammenfassung

Open Source Snort 3 prüft bei lokalen Benutzern, die sich mit dem Control-Channel-Socket verbinden, keine Authentifizierung. Ein lokaler Angreifer mit niedrigen Berechtigungen kann sich mit diesem Socket verbinden und beliebige Befehle als Snort-3-Prozessbenutzer ausführen. Zudem kann er den Speicher des Snort-3-Prozesses lesen und schreiben. Die Ausnutzung ist nur lokal möglich, weshalb das Risiko auf gemeinsam genutzten Systemen und Mehrbenutzersystemen am höchsten ist.

Betroffen

• Open Source Snort 3 (Cisco-Advisory und CVE-Eintrag nennen 3.1.2.0 bis 3.1.13.0 sowie 3.12.2.0; der vollständige betroffene Bereich ist in der Cisco-Advisory-Tabelle zu prüfen)
• Snort-3-Komponenten in Cisco-Produkten: Die korrigierten Versionen unterscheiden sich je Produkt, siehe Cisco-Advisory
• Open Source Snort 2 ist nicht betroffen

Behoben in

• Open Source Snort 3: 3.12.4.0 oder neuer
• Cisco UTD auf IOS XE: Images enthalten Snort 3.12.4.0
• Meraki MX: Online-Geräte, die mit dem Meraki Dashboard verbunden sind, wurden per Stand 21. Oktober 2026 automatisch aktualisiert
• Andere Cisco-Produkte: Produkttabellen in der Cisco-Advisory prüfen

Umgehung

Laut Cisco sind keine Workarounds verfügbar.

• Allgemeine Härtung, von Cisco nicht empfohlen: Lokalen Zugriff auf den Snort-Control-Channel-Socket auf berechtigte Benutzer beschränken
• Snort 3 mit den minimal nötigen Berechtigungen betreiben
• Diese Massnahmen ersetzen das Patchen nicht

Ausnutzung

• Das Cisco PSIRT kennt keine öffentlichen Ankündigungen und keine missbräuchliche Nutzung.
• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
• In der Recherche wurde kein öffentlicher Proof-of-Concept gefunden.
• Kein Eintrag im CISA-KEV-Katalog gefunden; der Katalog sollte zur Bestätigung erneut geprüft werden.

Unsere Empfehlung

• Alle Snort-3-Instanzen erfassen, einschliesslich Standalone-Hosts, Firewall Threat Defense, Meraki MX, Cyber Vision und IOS XE UTD.
• Standalone-Snort-3 auf 3.12.4.0 oder neuer aktualisieren; Cisco-Geräte gemäss den Tabellen der Advisory aktualisieren.
• Lokale Shell-Konten auf Snort-Hosts prüfen und nicht benötigte entfernen.
• Lokale Anmeldungen auf Snort-Hosts auf das Nötige beschränken.
• Cisco-Advisory und CISA-KEV-Katalog auf Aktualisierungen prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Cisco Security Advisory cisco-sa-opensrc-snort3-2fXGJPfe sec.cloudapps.cisco.com
• Cisco Security Advisory: Snort 3 Security Hardening Release October 2026 www.cisco.com
• Cisco Security Advisory notice (October 2026 Snort 3 bundle) sec.cloudapps.cisco.com
• Feedly CVE-2026-76524 feedly.com
• VulDB entry 424918 vuldb.com
• SecurityOnline: Cisco Snort 3 vulnerabilities October 2026 securityonline.info

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 22:47.