CVE-2026-20245
Cisco Catalyst SD-WAN Manager Improper Encoding or Escaping of Output Vulnerability
Beschreibung
CVE-2026-20245 ist eine Command-Injection-Schwachstelle mit hohem Schweregrad im CLI von Cisco Catalyst SD-WAN Controller (früher SD-WAN vSmart), Cisco Catalyst SD-WAN Manager (früher SD-WAN vManage) und Cisco Catalyst SD-WAN Validator (früher SD-WAN vBond). Sie erlaubt einem authentifizierten, lokalen Angreifer mit Netadmin-Rechten, durch Bereitstellung einer manipulierten Datei beliebige Befehle als Root auszuführen. Ursache ist eine unzureichende Validierung von Nutzereingaben, die es einer hochgeladenen Datei erlaubt, Command Injection und Rechteausweitung auf Root auszulösen. CVE-2026-20245 ist mit CVSS 7.8 (hoch) bewertet und im CISA-KEV-Katalog gelistet. Cisco hat begrenzte Fälle beobachtet, in denen die Ausnutzung zu an Edge-Geräte ausgerollten Konfigurationsänderungen führte, weshalb Betreiber auf die fehlerbereinigte Software aktualisieren und die Edge-Geräte-Konfiguration verifizieren sollten.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenCWEs
Betroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| cisco | catalyst sd-wan manager | < 20.9.9.1; >= 20.10, < 20.12.5.4; >= 20.12.6, < 20.12.6.2; >= 20.13, < 20.15.4.4; >= 20.15.5, < 20.15.5.2; >= 20.16, < 20.18.2.2; >= 26.1, < 26.1.1.1; 20.12.7 |
| cisco | sd-wan vsmart controller | < 20.9.9.1; >= 20.10, < 20.12.5.4; >= 20.12.6, < 20.12.6.2; >= 20.13, < 20.15.4.4; >= 20.15.5, < 20.15.5.2; >= 20.16, < 20.18.2.2; >= 26.1, < 26.1.1.1; 20.12.7 |
Referenzen
- https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-sdwan-privesc-4uxFrdzx(Vendor Advisory)
- https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-sdwan-rpa2-v69WY2SW(Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-20245(US Government Resource)
Schwachstellentyp
CWE-116: Unzureichende Kodierung oder Escaping von Ausgaben
CVE-2026-20245 wird unter CWE-116 klassifiziert — Unzureichende Kodierung oder Escaping von Ausgaben. Das CLI bildet einen Systembefehl, der den Inhalt einer vom Nutzer bereitgestellten Datei einbezieht, ohne diesen für den Shell-Kontext korrekt zu escapen, sodass angreiferkontrollierte Daten die Struktur des ausgeführten Befehls verändern. Dieses fehlerhafte Shell-Escaping ist die Ursache der resultierenden Command Injection und der Ausführung auf Root-Ebene.
Mehr erfahren: CWE-116 — Unzureichende Kodierung oder Escaping von Ausgaben
Auswirkungsanalyse
CVE-2026-20245 hat einen CVSS-3.1-Basiswert von 7.8 (hoch). Angriffsvektor (lokal): Die Ausnutzung erfordert CLI-Zugang zum betroffenen System statt eines rein entfernten Netzwerkpfads. Angriffskomplexität (niedrig): Ist der Zugang erlangt, sind keine besonderen Voraussetzungen nötig. Erforderliche Rechte (niedrig): Der Angreifer muss ein gültiges Netadmin-Konto besitzen, sodass dies ein Primitiv zur Rechteausweitung und keine nicht authentifizierte Übernahme ist. Benutzerinteraktion (keine): Es ist keine Opferaktion nötig. Vertraulichkeit, Integrität und Verfügbarkeit (hoch): Die Ausführung von Befehlen als Root verschafft die vollständige Kontrolle über den Controller, einschließlich der von Cisco in begrenzten Fällen beobachteten Möglichkeit, Konfigurationsänderungen an verwaltete Edge-Geräte auszurollen, was die Auswirkung über die SD-WAN-Fabric hinweg verstärkt. Mit einem EPSS-Score von rund 1 % (57. Perzentil) und bestätigter KEV-Listung ist das praktische Risiko die Eskalation von einem Administrationskonto zu Root und potenzielle fabric-weite Konfigurationsmanipulation.
Exploit-Reifegrad
CISA hat CVE-2026-20245 in den Known-Exploited-Vulnerabilities-Katalog aufgenommen und damit die aktive Ausnutzung in der Praxis bestätigt; Cisco vermerkt begrenzte beobachtete Fälle, in denen die Ausnutzung zu Konfigurationsänderungen an Edge-Geräten führte. Die Referenzen führen die Cisco-Hersteller-Advisories und den KEV-Eintrag, ohne verlinkten öffentlichen Exploit-Code, und der EPSS-Score beträgt rund 1 % (57. Perzentil). Da die Ausnutzung ein Netadmin-Konto und lokalen CLI-Zugang erfordert, ist der unmittelbar gefährdete Kreis kleiner als bei nicht authentifizierten Fehlern, doch die bestätigte Ausnutzung und das Ergebnis auf Root-Ebene rechtfertigen ein zügiges Patchen.
Behebung
- Der Vorgabe von Cisco und CISA folgen und die betroffenen Komponenten Catalyst SD-WAN Manager, vSmart Controller und Validator auf die im Cisco-Security-Advisory dokumentierte fehlerbereinigte Software aktualisieren.
- Jede laufende Version der passenden Fix-Version aus den betroffenen Bereichen zuordnen (behobene Trains umfassen etwa 20.9.9.1, 20.12.5.4, 20.12.6.2, 20.15.4.4, 20.15.5.2, 20.18.2.2 und 26.1.1.1).
- Gemäß Cisco-Empfehlung die Konfiguration der Edge-Geräte verifizieren, da die Ausnutzung in begrenzten Fällen Konfigurationsänderungen an diese ausgerollt hat.
- Netadmin-Zugang zum SD-WAN-CLI streng kontrollieren und auditieren, da ein gültiges Netadmin-Konto die Voraussetzung der Ausnutzung ist.
- Als langfristige Härtung sicherstellen, dass das CLI parametrisierte Befehls-APIs und korrektes Escaping für alle aus hochgeladenen Dateien abgeleiteten Daten verwendet, damit Nutzereingaben die Befehlsstruktur nicht verändern können (gemäß CWE-116-Empfehlung).
Technische Details
Die Schwachstelle beruht auf CWE-116 (Unzureichende Kodierung oder Escaping von Ausgaben): Das SD-WAN-CLI bezieht den Inhalt einer vom Nutzer bereitgestellten Datei in einen Systembefehl ein, ohne shell-relevante Zeichen korrekt zu escapen, was die Ursache der Command Injection ist. Wie der CVSS-Vektor CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H zeigt, lädt ein authentifizierter lokaler Angreifer mit Netadmin-Rechten eine manipulierte Datei hoch, deren Inhalt zusätzliche Befehle einschleust; verarbeitet das CLI die Datei, laufen diese Befehle als Root-Nutzer und weiten die Rechte des Angreifers aus. Da die betroffenen Systeme die SD-WAN-Fabric verwalten, kann Root auf dem Controller in an Edge-Geräte ausgerollte Konfigurationsänderungen übersetzt werden, was Cisco in begrenzten Fällen beobachtet hat.
Häufig gestellte Fragen
Wird CVE-2026-20245 aktiv ausgenutzt?
Ja. CVE-2026-20245 ist im Known-Exploited-Vulnerabilities-Katalog der CISA gelistet, und Cisco hat begrenzte Fälle der Ausnutzung beobachtet, die Konfigurationsänderungen an Edge-Geräte ausrollten. Der EPSS-Score liegt bei rund 1 % (57. Perzentil), doch die KEV-Listung ist das entscheidende Signal.
Welche Produkte sind von CVE-2026-20245 betroffen?
Betroffen sind Cisco Catalyst SD-WAN Manager (früher vManage), Catalyst SD-WAN Controller (früher vSmart) und Catalyst SD-WAN Validator (früher vBond) über mehrere Trains hinweg, darunter Versionen vor 20.9.9.1, 20.12.5.4, 20.12.6.2, 20.15.4.4, 20.15.5.2, 20.18.2.2 und 26.1.1.1.
Wie behebe ich CVE-2026-20245?
Aktualisieren Sie die betroffenen SD-WAN-Komponenten auf die im Cisco-Security-Advisory dokumentierte fehlerbereinigte Software, wählen Sie die zu Ihrem aktuellen Train passende Version und verifizieren Sie anschließend die Edge-Geräte-Konfiguration.
Wie schwerwiegend ist CVE-2026-20245?
Sie ist als hoch mit einem CVSS-3.1-Basiswert von 7.8 eingestuft. Sie erfordert ein authentifiziertes Netadmin-Konto und lokalen CLI-Zugang, ermöglicht jedoch Befehlsausführung auf Root-Ebene und kann zu Konfigurationsänderungen an Edge-Geräten führen, und sie ist als aktiv ausgenutzt bestätigt.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.