CVE-2026-20133
Cisco Catalyst SD-WAN Manager Exposure of Sensitive Information to an Unauthorized Actor Vulnerability
Beschreibung
CVE-2026-20133 ist eine Schwachstelle zur Informationsoffenlegung mit dem Schweregrad HIGH in Cisco Catalyst SD-WAN Manager (früher vManage), klassifiziert unter CWE-200 (Exposure of Sensitive Information to an Unauthorized Actor). Die Schwachstelle ermöglicht es entfernten Angreifern, vertrauliche Informationen auf betroffenen Systemen einzusehen, ohne physischen Zugriff oder zusätzliche Authentifizierung über die Netzwerkerreichbarkeit der Management-Schnittstelle hinaus zu benötigen. Cisco SD-WAN Manager ist die zentrale Steuerungsebene für unternehmensweite SD-WAN-Deployments und verwaltet Routing-Richtlinien, Gerätekonfigurationen, VPN-Zugangsdaten und Authentifizierungsdaten für potenziell hunderte verbundener Branch-Router – was jede unbefugte Informationsoffenlegung äußerst folgenreich macht. CISA hat CVE-2026-20133 am 20. April 2026 in den Known Exploited Vulnerabilities (KEV) Katalog aufgenommen und unter Emergency Directive 26-03 einbezogen, die die Behebung durch Bundesbehörden bis zum 23. April 2026 vorschreibt. CVE-2026-20133 ist eine von drei SD-WAN Manager-Schwachstellen, die von ED 26-03 abgedeckt werden, zusammen mit CVE-2026-20122 und CVE-2026-20128; in einem verketteten Angriffsszenario können über dieses CVE offengelegte Informationen (wie Zugangsdaten oder Session-Token) die Ausnutzung der Privileg-Eskalationsschwachstelle in CVE-2026-20122 direkt ermöglichen. Der EPSS-Score beträgt 0,0139, was die Schwachstelle im 80,4. Perzentil platziert – sie rangiert damit im oberen Fünftel aller CVEs nach vorhergesagter Ausnutzungswahrscheinlichkeit.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:NIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| cisco | catalyst sd-wan manager | < 20.9.8.2; >= 20.10, < 20.12.5.3; >= 20.13, < 20.15.4.2; >= 20.16, < 20.18.2.1; 20.12.6 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
Referenzen
Schwachstellentyp
CWE-200: Exposure of Sensitive Information to an Unauthorized Actor
CWE-200 beschreibt Szenarien, in denen Software versehentlich Informationen an Akteure preisgibt, die nicht berechtigt sind, diese zu empfangen. Dies kann durch unzulässige Zugriffskontrollen bei API-Endpunkten oder Web-Interfaces, übermäßig detaillierte Fehlermeldungen, die internen Zustand preisgeben, Debug- oder Diagnose-Endpunkte, die in der Produktionsumgebung exponiert bleiben, oder Antworten, die Daten über das hinaus einschließen, was der Anforderer einsehen darf, auftreten. Bei Netzwerkverwaltungsplattformen werden die Konsequenzen von CWE-200 verstärkt, da die vertraulichen Informationen, die von diesen Systemen verwaltet werden – Zugangsdaten, Verschlüsselungsschlüssel, VPN-Konfigurationen, Gerätezertifikate – das Vertrauensgefüge für ein gesamtes Netzwerk bilden.
Bei CVE-2026-20133 betrifft die Informationsoffenlegung die Management-Schnittstelle von Cisco SD-WAN Manager und ist für entfernte Angreifer erreichbar. Der genaue Mechanismus – ob ein nicht-authentifizierter API-Endpunkt, unzureichende Autorisierungs-Scoping oder Response-Data-Leakage – ist im Cisco Security Advisory beschrieben. Unabhängig vom genauen Code-Pfad ist die Konsequenz, dass ein Angreifer mit Netzwerkzugang zum SD-WAN Manager vertrauliche Betriebsdaten abrufen kann, die im Kontext des breiteren ED 26-03-Clusters wahrscheinlich Material enthalten, das für die Eskalation zu einem vollständigen SD-WAN-Kompromiss über CVE-2026-20122 nützlich ist. Mehr erfahren: CWE-200 — Exposure of Sensitive Information to an Unauthorized Actor
Auswirkungsanalyse
Zum Zeitpunkt der Erstellung wurde kein offizieller NVD CVSS-Score für CVE-2026-20133 veröffentlicht. Die folgende Bewertung basiert auf den technischen Eigenschaften der Schwachstelle, ihrer Klassifizierung unter CISA Emergency Directive 26-03 und ihrer Rolle innerhalb des Drei-CVE SD-WAN Manager Angriffsclusters.
Attack Vector (Netzwerk): Die Schwachstelle ist remote über das Netzwerk ausnutzbar. Die SD-WAN Manager Management-Schnittstelle ist über HTTPS zugänglich und ist in vielen Unternehmens-Deployments aus administrativen Netzwerken oder bei fehlender Firewall direkt aus dem Internet erreichbar.
Attack Complexity (Niedrig): Informationsoffenlegungs-Schwachstellen in Management-Interfaces erfordern typischerweise keine besonderen Vorbedingungen außer Netzwerkkonnektivität und in einigen Fällen gültige Zugangsdaten. Der 80,4. Perzentil EPSS-Score legt nahe, dass die Community die Ausnutzung als unkompliziert bewertet.
Privileges Required (Unbekannt): Die genaue Authentifizierungsanforderung wurde in öffentlichen Offenlegungen zum Zeitpunkt der Erstellung nicht bestätigt. Angesichts der Beschreibung von "entfernten Angreifern" (ohne Einschränkung) könnte die Schwachstelle ohne Authentifizierung ausnutzbar sein, was das Risiko erheblich erhöhen würde.
Confidentiality Impact (Hoch): SD-WAN Manager speichert und verarbeitet außerordentlich vertrauliche Daten: Gerätezugangsdaten, TLS-Zertifikate, VPN Pre-Shared Keys, Routing-Richtlinien und möglicherweise Administrator-Kontodaten. Unbefugter Zugriff auf diese Informationen kann eine vollständige SD-WAN-Netzwerkübernahme ermöglichen.
Integrity und Availability: Indirekter Impact – offengelegte Informationen können genutzt werden, um Konfigurationsänderungen oder Dienstunterbrechungen über nachfolgende Angriffe zu ermöglichen, insbesondere CVE-2026-20122.
Priorisierungsempfehlung: Das 80,4. Perzentil EPSS, die KEV-Aufnahme, Emergency Directive 26-03 mit einer Drei-Tage-Frist und seine Rolle als Aufklärungsermöglicher für den Privileg-Eskalations-Cluster machen CVE-2026-20133 zu einer kritischen Behebungspriorität für alle Cisco SD-WAN Manager Betreiber.
Exploit-Reifegrad
KEV und Emergency Directive: CVE-2026-20133 wurde am 20. April 2026 als Teil von Emergency Directive 26-03 in CISA's Known Exploited Vulnerabilities Katalog aufgenommen. Die Emergency Directive-Klassifizierung – CISA's höchste Dringlichkeits-Reaktionsmechanismus für Schwachstellen mit bestätigter Ausnutzung gegen föderale Infrastruktur – bestätigt, dass aktive Ausnutzung stattfindet und die Bedrohung als unmittelbar und schwerwiegend eingestuft wird.
EPSS-Kontext: Ein EPSS-Score von 0,0139 (80,4. Perzentil) platziert CVE-2026-20133 in den Top 20% aller CVEs nach vorhergesagter Ausnutzungswahrscheinlichkeit. Für eine neu offengelegte Schwachstelle in kritischer Netzwerkinfrastruktur spiegelt diese Perzentil-Rangfolge erhebliches Angreifer-Interesse und die wahrgenommene Leichtigkeit der Ausnutzung wider.
Mehrstufiger CVE-Ausnutzungs-Cluster: CVE-2026-20133 ist am gefährlichsten, wenn es in Kombination mit CVE-2026-20122 verwendet wird. Die Informationsoffenlegungsfähigkeit kann als Aufklärungsschritt fungieren – das Sammeln von Zugangsdaten oder Session-Token –, der die Privileg-Eskalation in CVE-2026-20122 ermöglicht. Ausgeklügelte Bedrohungsakteure, die auf Cisco SD-WAN Infrastruktur abzielen, würden diese Schwachstellen logischerweise verketten, und CISA's koordinierte ED 26-03 Reaktion legt nahe, dass dieses Verkettungsmuster beobachtet wurde.
Ransomware: Zum Zeitpunkt der Erstellung wurden keine Ransomware-Kampagnen speziell CVE-2026-20133 zugeschrieben. Die breitere Klasse von Cisco SD-WAN Manager Kompromittierungen hat jedoch aufgrund des netzwerkweiten Ausmaßes, das eine kompromittierte Management-Plane ermöglicht, das Interesse von Ransomware-Betreibern und Nation-State-Akteuren geweckt.
Öffentlicher PoC: Zum 24. April 2026 wurde kein öffentlicher Proof-of-Concept Code bestätigt. Das kurze Fenster zwischen KEV-Aufnahme und dem aktuellen Datum macht die Verfügbarkeit eines öffentlichen PoC unwahrscheinlich, reduziert aber nicht das operationelle Risiko durch gut ausgestattete Bedrohungsakteure.
Behebung
-
CISA Emergency Directive 26-03 einhalten. Federal Civilian Executive Branch Behörden müssen CVE-2026-20133 bis zum 23. April 2026 beheben. Alle anderen Organisationen, die Cisco Catalyst SD-WAN Manager betreiben, sollten diese Frist als Best-Practice-Ziel übernehmen, angesichts bestätigter Ausnutzungsaktivitäten und der Rolle der Schwachstelle in einer mehrstufigen Angriffskette.
-
Cisco-Sicherheits-Patches sofort anwenden. Das Cisco Security Advisory für CVE-2026-20133 (tools.cisco.com/security/center) überwachen und die gepatchte SD-WAN Manager Software-Version nach Verfügbarkeit deployen. Das Patching mit den Behebungen von CVE-2026-20122 und CVE-2026-20128 koordinieren, da alle drei unter derselben Emergency Directive adressiert werden.
-
Die SD-WAN Manager Management-Schnittstelle isolieren. Als sofortige vorübergehende Maßnahme sicherstellen, dass der HTTPS-Management-Port des SD-WAN Manager (typischerweise 8443) nicht aus nicht vertrauenswürdigen Netzwerken erreichbar ist. Den Zugriff ausschließlich über ein dediziertes Management-Netzwerksegment, VPN oder Privileged Access Workstations (PAWs) erzwingen. Netzwerk-ACLs und Firewall-Regeln anwenden, um Quell-IPs auf bekannte administrative Hosts einzuschränken.
-
Möglicherweise offengelegte Zugangsdaten rotieren. Davon ausgehen, dass alle im SD-WAN Manager gespeicherten oder verarbeiteten Zugangsdaten, Zertifikate oder API-Schlüssel möglicherweise offengelegt wurden. SD-WAN Gerätezugangsdaten, Controller-Zertifikate und Administrator-Passwörter proaktiv als Teil der Incident-Response-Haltung rotieren, bis das System als unkompromittiert bestätigt ist.
-
Zugriffslogs auf unbefugten Informationsabruf überprüfen. SD-WAN Manager Audit-Logs und Webserver-Zugriffslogs auf ungewöhnliche GET-Anfragen, API-Aufrufe mit großen Daten-Payloads als Antwort oder Zugriffsmuster von unerwarteten Quell-IP-Adressen untersuchen. Mit SIEM-Daten korrelieren, um potenzielle Aufklärungsaktivitäten vor einem Privileg-Eskalationsversuch zu identifizieren.
-
Defense-in-Depth für sensible Datenspeicherung anwenden. Überprüfen, welche vertraulichen Daten im Klartext oder mit reversibler Verschlüsselung in der SD-WAN Manager Datenbank gespeichert sind. Hersteller-Härtungsleitfäden anwenden, um die Sensibilität der über die Management-Schnittstelle exponierten Daten zu minimieren, und sicherstellen, dass das Secrets-Management dem Prinzip der minimalen Exposition folgt.
Technische Details
CVE-2026-20133 betrifft Cisco Catalyst SD-WAN Manager, die zentrale Management- und Orchestrierungsplattform für die Cisco SD-WAN Lösung. SD-WAN Manager exponiert eine webbasierte Management-Schnittstelle und eine REST-API, die von Administratoren, den SD-WAN Controllern (vSmart, vBond) und verbundenen Geräten für Konfiguration, Richtlinienverwaltung und Telemetrie verwendet werden.
Root Cause — Unbefugte Informationsoffenlegung: Die Schwachstelle ist in CWE-200 verwurzelt: Eine Komponente der SD-WAN Manager-Schnittstelle gibt vertrauliche Informationen an Akteure preis, die keine Berechtigung haben, darauf zuzugreifen. Bei Netzwerkverwaltungsplattformen manifestiert sich diese Schwachstellenklasse üblicherweise als: (a) API-Endpunkte, die Daten zurückgeben, ohne die Autorisierungs-Scope des Aufrufers zu verifizieren, (b) Fehlerantworten oder Debug-Output, die internen Zustand wie Zugangsdaten oder Konfigurationsfragmente einschließen, oder (c) Antworten, die Datenfelder über das hinaus einschließen, was die anfordernde Rolle einsehen darf.
Gefährdete vertrauliche Daten: Cisco SD-WAN Manager ist ein hochwertiges Ziel für Informationsoffenlegung, da er das Vertrauensmaterial für das gesamte SD-WAN-Netzwerk speichert und verwaltet: Geräte-Authentifizierungszugangsdaten, TLS-Zertifikate und Private Keys für Controller-zu-Gerät-Kommunikation, VPN-Konfigurationen, Routing-Richtliniendefinitionen, Template-Daten, die möglicherweise Klartext- oder schwach geschützte Geheimnisse enthalten, sowie Administrator-Kontodaten. Die Offenlegung eines beliebigen Teils dieser Informationen kann einem Angreifer ermöglichen, Geräte zu imitieren, verschlüsselten SD-WAN-Datenverkehr abzufangen oder zu einer vollständigen Netzwerkkompromittierung überzugehen.
Beziehung zu CVE-2026-20122: CVE-2026-20133 und CVE-2026-20122 sind in einem Angriffsketten-Kontext eng miteinander verbunden. Über CVE-2026-20133 offengelegte Informationen – wie gültige niedrig-privilegierte Zugangsdaten, Session-Token oder API-Schlüssel – können die Authentifizierungsvoraussetzung für die Ausnutzung der privilegierten Datei-Upload-API von CVE-2026-20122 direkt erfüllen. CISA's Gruppierung beider CVEs unter einer einzigen Emergency Directive spiegelt dieses verkettete Ausnutzungsrisiko wider.
CVSS-Kontext: Es wurde kein formaler CVSS-Vektor veröffentlicht. Basierend auf dem beschriebenen Angriffsmuster (remote, niedrige oder keine Authentifizierung erforderlich, hoher Confidentiality Impact) ist eine kontextuelle CVSS-Schätzung von 7,5–8,6 (HIGH) angemessen. Zur autoritativen Bewertung ist die Bestätigung durch das Hersteller-Advisory erforderlich.
Häufig gestellte Fragen
Wird CVE-2026-20133 aktiv ausgenutzt?
Ja. CISA hat CVE-2026-20133 am 20. April 2026 unter Emergency Directive 26-03 in den KEV-Katalog aufgenommen, der nur für Schwachstellen mit bestätigter aktiver Ausnutzung herausgegeben wird, die ein schweres Risiko für Regierungs- und kritische Infrastrukturnetzwerke darstellen. Alle Cisco SD-WAN Manager Betreiber sollten dies als aktive Bedrohung behandeln.
Welche Produkte sind betroffen?
Cisco Catalyst SD-WAN Manager (früher vManage) ist das betroffene Produkt. Das Cisco Security Advisory für CVE-2026-20133 für die spezifischen Software-Versionen mit der Schwachstelle konsultieren. Nachgelagerte SD-WAN Komponenten (Edge-Router, vSmart, vBond) sind nicht direkt verwundbar, aber einem erhöhten Risiko ausgesetzt, wenn der SD-WAN Manager kompromittiert und Zugangsdaten offengelegt werden.
Wie behebt man die Schwachstelle?
Cisco Catalyst SD-WAN Manager auf die im Cisco Security Advisory angegebene behobene Version patchen. Als sofortige vorübergehende Maßnahme den gesamten Netzwerkzugriff auf die SD-WAN Manager Management-Schnittstelle auf bekannte administrative IP-Bereiche einschränken, VPN-basierten Zugriff erzwingen und alle im SD-WAN Manager gespeicherten Zugangsdaten oder Zertifikate als Vorsichtsmaßnahme rotieren. Alle drei von ED 26-03 abgedeckten Patches zusammen anwenden.
Wie schwerwiegend ist die Schwachstelle?
CVE-2026-20133 wird mit dem Schweregrad HIGH bewertet. Die Kombination aus Remote-Ausnutzbarkeit, einem hochwertigen sensiblen Datenziel (SD-WAN Zugangsdaten und Konfiguration), dem 80,4. Perzentil EPSS-Score und seiner Rolle als Aufklärungsermöglicher für den Privileg-Eskalations-Cluster macht es zu einem kritischen operationellen Risiko für jede Organisation, die auf Cisco SD-WAN Infrastruktur setzt.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.