Beobachtungen
Die CISA
berichtet gemeinsam mit weiteren Sicherheitsbehörden über Schwachstellen in Cisco Catalyst Software-Defined Wide-Area Networking
(SD-WAN)-Komponenten. Solche Systeme können demnach einem hohen Risiko der vollständigen administrativen Übernahme
unterliegen. Daher sollten die verfügbaren Updates installiert und die Geräte auf den aktuellen Stand gebracht werden.
Methoden
Die als CVE-2026-20127 bezeichnete Schwachstelle betrifft die Peering-Authentifizierung innerhalb der SD-WAN Netzwerkstruktur. In
Kombination mit der Ausnutzung einer weiteren Schwachstelle, CVE-2022-20775, könnten nicht authentifizierte Angreifer durch
präparierte Anfragen Zugang zu einem internen Benutzerkonto erlangen. Damit kann in der Folge die SD-WAN Netzwerkstruktur manipuliert
sowie eine Persistenz eingerichtet werden.
Attribution
Dem Cybersicherheitsteam von Cisco Talos zufolge hat ein als UAT-8616 bezeichneter, sehr fortgeschrittener
Akteur die Sicherheitslücke bereits seit mindestens 2023 aktiv ausgenutzt. Dies könnte ein Hinweis auf eine mehrjährige,
unentdeckte Spionagekampagne sein. Die technologische Vorgehensweise sowie die Zielauswahl korrelieren mit Mustern bekannter
APT-Gruppierungen aus dem asiatischen Raum. Die "Stealth-Methodik" unterstreicht eine strategische Ausrichtung auf langfristige
nachrichtendienstliche Informationsgewinnung. Eine Zuordnung zu einer konkreten APT-Gruppierung oder einem Staat ist bislang jedoch nicht
möglich.
Empfehlungen
- Inventarisierung: Erfassung aller vManage- und vSmart-Instanzen im Verantwortungsbereich.
- Minimierung der Exposition: Implementierung strikter Access Control Lists (ACLs) und Firewall-Regeln zur Beschränkung der Management-Ports 22 und 830 auf explizit autorisierte Quell-IP-Adressen.
- Forensische Auditierung: Manuelle Validierung der Peering-Logs auf unbekannte Control-Connection-Events; Abgleich der Authentifizierungs-Zeitstempel mit den bekannten Wartungsfenstern.
- Credential-Hygiene: Nach erfolgter Softwareaktualisierung sollte ein Wechsel der administrativen Zertifikate und API-Keys vorgenommen werden.
Cisco stellt einen ausführlichen Bericht sowie Handlungsempfehlungen zur Härtung der Geräte zur Verfügung. Wir raten allen Stellen, die betroffene Cisco-Systeme einsetzen, zur Umsetzung der Handlungsempfehlungen.