de.wedoany.com-Bericht: Cisco hat eine Sicherheitslücke in Unified Communications Manager behoben, die unter der Kennung CVE-2026-20230 geführt wird. Sie ermöglicht es nicht authentifizierten Angreifern im Netzwerk, Dateien auf das Gerät zu schreiben und anschließend ihre Berechtigungen auf Root-Ebene auszuweiten. Ein Proof-of-Concept (PoC)-Exploit-Code wurde veröffentlicht. Cisco PSIRT gibt an, dass die Sicherheitslücke bisher nicht in tatsächlichen Angriffen ausgenutzt wurde, die Veröffentlichung des PoC verkürzt jedoch das Zeitfenster für Angriffe.
Die Sicherheitslücke wird als Server-Side Request Forgery (SSRF) eingestuft und resultiert daraus, dass Unified CM und seine Session Management Edition bestimmte HTTP-Anfragen nicht ordnungsgemäß validieren. Speziell präparierte Anfragen können den Server dazu zwingen, beliebige Dateien in das zugrunde liegende Betriebssystem zu schreiben. Angreifer nutzen diese Dateien dann als Sprungbrett, um ihre Berechtigungen auf die höchste Systemebene (Root) auszuweiten. Dieses zweistufige Angriffsmuster führt zu einer Inkonsistenz zwischen dem CVSS-Score und der Einstufung. Der CVSS-Basisscore von CVE-2026-20230 beträgt 8,6 (von maximal 10 Punkten). Dieser Score bewertet nur die Auswirkungen des Dateischreibvorgangs auf die Integrität. Der Bericht stellt klar, dass dieser Schritt „nur die Integrität beeinträchtigt, ohne Verlust der Vertraulichkeit oder Verfügbarkeit“. Die anschließende Root-Rechteausweitung wird nicht berücksichtigt. Cisco stuft die Meldung dennoch als „kritisch“ ein, mit der Begründung, dass der Angriff letztendlich vollständige Root-Rechte erlangen kann.
Für die Sicherheitslücke gibt es einen mildernden Faktor: Sie ist nur wirksam, wenn der WebDialer-Dienst läuft, der in der Standardkonfiguration deaktiviert ist. Für Bereitstellungen, bei denen der WebDialer-Dienst aktiviert ist, greift diese Abhilfemaßnahme nicht. Administratoren können über die Cisco Unified CM Administration in die Cisco Unified Serviceability wechseln, unter Tools > Control Center - Feature Services den Status des Cisco WebDialer Web Service im Bereich CTI Services überprüfen. Wird „Gestartet“ angezeigt, besteht ein Risiko.
Das Einspielen von Patches ist die einzige Möglichkeit, die Sicherheitslücke zu beheben. Für Version 14 ist der entsprechende Patch 14SU6. Für Version 15 wird das vollständige Service Update (15SU5) erst im September 2026 veröffentlicht. Bis dahin muss entweder ein temporärer COP-Patch verwendet oder der WebDialer-Dienst deaktiviert werden (unter Tools > Service Activation die Markierung entfernen und speichern). Die Sicherheitslücke wurde von einem unabhängigen Forscher in Zusammenarbeit mit SSD Secure Disclosure gemeldet.
Unified CM war bereits mehrfach eine Quelle für nicht authentifizierte Root-Level-Sicherheitslücken. Im Juli 2025 entfernte Cisco ein während der Entwicklung hinterlassenes hartcodiertes Root-SSH-Konto (CVE-2025-20309, CVSS 10). Im Januar 2026 behob Cisco eine nicht authentifizierte RCE-Sicherheitslücke (CVE-2026-20045) in mehreren seiner Sprachprodukte, die bereits in freier Wildbahn ausgenutzt wurde und von der US-amerikanischen Cybersecurity and Infrastructure Security Agency (CISA) in den Katalog bekannter ausgenutzter Sicherheitslücken aufgenommen wurde. Die aktuelle Sicherheitslücke CVE-2026-20230 folgt einem ähnlichen Muster: Anfragen, die sensible Informationen eigentlich nicht erreichen sollten, können dies letztendlich doch tun. Da der PoC veröffentlicht wurde und die Behebung für Version 15 noch Monate dauert, ist absehbar, dass diese Dateischreib-Sicherheitslücke vor der vollständigen Bereitstellung von Patches für tatsächliche Angriffe genutzt werden könnte.
Dieser Artikel wurde von Wedoany übersetzt und bearbeitet. Bei jeglicher Zitierung oder Nutzung durch künstliche Intelligenz (KI) ist die Quellenangabe „Wedoany“ zwingend vorgeschrieben. Sollten Urheberrechtsverletzungen oder andere Probleme vorliegen, bitten wir Sie, uns unverzüglich zu benachrichtigen. Wir werden den entsprechenden Inhalt umgehend anpassen oder löschen.
E-Mail: news@wedoany.com
