Broadcom Fabric OS: Command Injection in REST-API-Verwaltungsschnittstelle
Zusammenfassung
Eine Command-Injection-Schwachstelle in der REST-API-Verwaltungsschnittstelle von Brocade Fabric OS vor 10.0.1 erlaubt einem authentifizierten Benutzer, über manipulierte Eingabeparameter beliebige Systembefehle auszuführen. Da die REST-API standardmässig aktiviert ist, setzen SAN-Switches mit betroffenen Versionen diese Angriffsfläche im Verwaltungsnetz offen. Der CVSS-4.0-Wert beträgt 8.5 (hoch); der Angreifer benötigt gültige Zugangsdaten mit niedrigen Rechten und keine Benutzerinteraktion. Eine Ausnutzung ist nicht bekannt.
Betroffen
- Brocade Fabric OS Versionen vor 10.0.1 (gemäss CNA-Eintrag alle Versionen unterhalb 10.0.1)
- 9.2.x-Installationen sind als potenziell betroffen zu behandeln, bis das Advisory von Broadcom etwas anderes bestätigt
- Hinweis: Die separate CVE-2026-94581 hat eine andere Fixversion und muss separat geprüft werden
Behoben in
- Fabric OS 10.0.1 (Broadcom-Mitteilung führt CVE-2026-87680 als behoben auf)
- Fixversionen für andere Zweige: Unbekannt. Broadcom-Advisory SA 39074 prüfen.
Umgehung
- Unbekannt. Es wurde kein Herstellerworkaround verifiziert; Advisory 39074 prüfen.
- Übergangsmassnahme (nicht vom Hersteller bestätigt): REST-API-Zugriff auf ein Management-VLAN oder einen Jump Host beschränken und die Anzahl Konten mit API-Zugriff reduzieren.
Ausnutzung
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
- Nicht im CISA-KEV-Katalog; EPSS etwa 1%.
- Zum Zeitpunkt der Erstellung wurden keine öffentlichen Proof-of-Concepts oder Ausnutzungsberichte gefunden.
Unsere Empfehlung
- Broadcom-Advisory SA 39074 lesen und die Fixversion für jeden installierten Zweig bestätigen.
- Betroffene SAN-Switches auf Fabric OS 10.0.1 oder die für Ihren Zweig aufgeführte Fixversion aktualisieren.
- Bis zum Patch den REST-API-Zugriff auf vertrauenswürdige Management-Hosts beschränken und Konten mit API-Zugriff überprüfen.
- HPE-SAN-Switches: zusätzlich das HPE-Bulletin zu dieser Schwachstelle prüfen.
- Den CISA-KEV-Katalog auf Änderungen überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Broadcom Security Advisory SA 39074 support.broadcom.com
- Broadcom notification (FOS 10.0.1 fixes) support.broadcom.com
- FOS REST API documentation (Broadcom TechDocs) techdocs.broadcom.com
- Broadcom Fabric OS Security Users Guide docs.broadcom.com
- CVE record via OpenCVE (CISA SSVC, KEV status) app.opencve.io
- Rapid7 vulners record vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 11:14.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.