Brocade Fabric OS: OS-Command-Injection in REST-API-Verwaltungsschnittstelle
Zusammenfassung
Brocade Fabric OS, das Betriebssystem von Fibre-Channel-SAN-Switches, enthält eine OS-Command-Injection-Schwachstelle (CWE-78) in der REST-API-Verwaltungsschnittstelle. Ein authentifizierter Angreifer mit Administratorrechten, der SSH-Known-Host-Parameter setzen kann, kann Shell-Metazeichen einschleusen und beliebige Systembefehle als root ausführen. Eine erfolgreiche Ausnutzung kann die vollständige Kontrolle über den Switch und eine Störung des Speicherzugriffs im Fabric zur Folge haben.
Betroffen
- Brocade Fabric OS vor 9.2.2d
- Brocade Fabric OS 10.0.0 bis 10.0.0a1
- Andere Produkte wie Brocade SANnav und Brocade ASCO sind gemäss einem Drittanbieter-Spiegel der Advisory nicht betroffen.
Behoben in
- Fabric OS 9.2.2d
- Fabric OS 10.0.1 gemäss dem offiziellen CVE-Eintrag. Ein Drittanbieter-Spiegel nennt 10.0.0.1; diese Version ist unbestätigt und muss mit der Advisory von Broadcom abgeglichen werden.
Umgehung
Unbekannt. Es ist kein Workaround des Herstellers dokumentiert. Die Einschränkung des Zugriffs auf die Verwaltungsschnittstelle und die Beschränkung administrativer Konten verringern das Risiko bis zum Patch.
Ausnutzung
- Zum Zeitpunkt der Recherche wurde keine Ausnutzung in freier Wildbahn gefunden. Der KEV-Status der CISA wurde nicht direkt geprüft.
- Kein öffentlicher Proof of Concept gefunden.
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
Unsere Empfehlung
- Prüfen, ob Brocade-Fabric-OS-Switches im Einsatz sind und welche Version läuft.
- Upgrade auf Fabric OS 9.2.2d oder die vom Hersteller bestätigte fixe 10.0.x-Version planen und die Zielversion vorab in der Advisory von Broadcom verifizieren.
- Zugriff auf das Management-Netzwerk einschränken sowie administrative Konten und deren Berechtigungen überprüfen.
- Logs der Verwaltungsschnittstelle überwachen.
- Zusammen mit weiteren Fabric-OS-CVEs patchen, die im selben Release behoben werden, z. B. CVE-2026-94586.
- Bei HPE-Switches die HPE-Bulletin HPESBST05160 für die fixen Versionen prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Broadcom Security Advisory 39137 support.broadcom.com
- Broadcom support notification 25000 support.broadcom.com
- CVE List record (Vulners) vulners.com
- Rapid7 record (Vulners) vulners.com
- Advisory mirror (imfht) cve.imfht.com
- CVE threat intelligence (threatint) cve.threatint.com
- VulDB CVE-2026-94581 vuldb.com
- Strix CVE-2026-94581 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 11:11.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.