Absolute Secure Access: Denial of Service im Verbindungsaufbau

Zusammenfassung

Eine Schwachstelle im Subsystem für den Verbindungsaufbau von Absolute Secure Access Servern vor Version 14.60 erlaubt nicht authentifizierten Angreifern aus der Ferne, speziell präparierten Datenverkehr an den Server zu senden. Dies führt zu einem dauerhaften Denial of Service, sodass sich Remote-Benutzer nicht mehr verbinden können. Laut CVE-Eintrag sind weder Datenverlust noch Codeausführung beschrieben, und für den Angriff sind weder Zugangsdaten noch Benutzerinteraktion nötig.

Betroffen

• Absolute Secure Access Server in Versionen vor 14.60 (CNA-Bereich 0 bis unter 14.60)
• Nur die Server-Komponente; VulDB beschreibt den Bereich als bis 14.59

Behoben in

• Secure Access 14.60 (Herstellerhinweis listet CVE-2026-97716 für diese Version auf)

Umgehung

• Kein Workaround des Herstellers bekannt.
• Drittanbieter-Vorschlag (VulDB, nicht durch Absolute bestätigt): Rate Limiting für neue Verbindungen aus nicht vertrauenswürdigen Netzen.

Ausnutzung

• CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung teilweise.
• Nicht in der CISA KEV gelistet.
• Kein öffentlicher Proof of Concept und keine Ausnutzungsberichte gefunden; die Suche war nicht erschöpfend.
• EPSS 0.00344.

Unsere Empfehlung

• Installierte Version des Secure Access Servers prüfen.
• Alle Server vor 14.60 zeitnah auf Version 14.60 aktualisieren, zuerst die aus dem Internet erreichbaren Server.
• Prüfen, ob weitere Secure Access CVEs aus dem Herstellerhinweis zu 14.60 zutreffen, z. B. CVE-2026-97714 und CVE-2026-97715.
• Öffentliche Exposition auf den benötigten VPN-Port beschränken und auf Verbindungsfehler oder Dienstausfälle überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Vendor advisory (CVE entry) www.absolute.com
• Vendor 14.60 advisory www.absolute.com
• NVD/CNA data via OpenCVE app.opencve.io
• VulDB entry vuldb.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 05:24.