Absolute Secure Access: Denial of Service in Authentifizierungs-Subsystem
Zusammenfassung
Absolute Secure Access, ein Produkt für den Fernzugriff, enthält eine Denial-of-Service-Schwachstelle im Authentifizierungs-Subsystem. Ein Angreifer kann eine fehlerhafte Antwort während der Authentifizierung senden, was auf dem Server einen anhaltenden Denial of Service auslösen kann. Gemäss CVSS-4.0-Vektor sind für den Angriff keine Berechtigungen und keine Benutzerinteraktion nötig, und er kann über das Netzwerk erfolgen, die Angriffskomplexität ist jedoch hoch.
Betroffen
- Absolute Security Secure Access Server-Versionen vor 14.60 (gemäss CNA-Eintrag: 0 bis < 14.60)
- Unbekannt: genaue Liste älterer Branches; Build anhand der Herstellerinformation prüfen
Behoben in
- Secure Access 14.60
Umgehung
- Kein Workaround des Herstellers gefunden. Das Upgrade auf 14.60 ist die einzige bestätigte Massnahme.
- Übergangsmassnahme (nicht von einer Herstellerquelle): Netzwerkzugriff auf die Authentifizierungs-Endpunkte einschränken.
Ausnutzung
- CISA SSVC (Vulnrichment): Exploitation none, nicht automatisierbar, technische Auswirkung partiell.
- Nicht in der CISA-KEV-Liste.
- Kein öffentlicher Proof of Concept gefunden.
- Ein Aggregator meldet unklare Sensordaten; diese werden nicht als Hinweis auf Angriffe gewertet.
Unsere Empfehlung
- Die Version des Secure Access Servers prüfen. Jede Version unter 14.60 ist betroffen.
- Das Upgrade auf 14.60 planen und die verwandten Korrekturen CVE-2026-97715, CVE-2026-97716 und CVE-2026-97717 einbeziehen.
- Prüfen, ob Skripte von den abgelösten serverseitigen APIs abhängen, und diese vor dem Upgrade testen.
- Die Internet-Exponierung der Authentifizierungs-Endpunkte einschränken, soweit der Geschäftsbetrieb es erlaubt.
- Auf Abstürze oder unerwartete Dienstneustarts überwachen und einen möglichen manuellen Neustart einplanen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Absolute CVE-2026-97714 advisory www.absolute.com
- Absolute Secure Access 14.60 advisory www.absolute.com
- CVE record (CVE List V5) raw.githubusercontent.com
- OpenCVE CVE-2026-97714 app.opencve.io
- VulDB CVE-2026-97714 vuldb.com
- OffSeq radar CVE-2026-97714 radar.offseq.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 16:54.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.