Cisco meldet eine Lücke im Peering-Mechanismus von Catalyst SD-WAN. Angreifer aus der Ferne umgehen die Anmeldung und erlangen hohe Rechte. Betroffen sind Controller, Manager und Validator. Cisco kennt keine Umgehungslösung, aber es gibt Software-Updates.
Inhalt 7 Abschnitte
Eine Lücke in Ciscos SD-WAN-Technik gibt Angreifern ohne Anmeldung hohe Rechte. Drei Komponenten sind betroffen, und Cisco kennt keine Umgehungslösung. Dieser Beitrag zeigt, was Du jetzt prüfen und tun solltest.
Das Wichtigste in Kürze
- Die Peering-Authentifizierung ist defekt. Ein Angreifer aus der Ferne kann sie umgehen und Administratorrechte erlangen.
- Drei Komponenten sind betroffen. Das sind Cisco Catalyst SD-WAN Controller, Manager und Validator, unabhängig von der Konfiguration.
- Es gibt Updates, aber keine Umgehungslösung. Cisco hat Software-Korrekturen veröffentlicht. Andere Massnahmen, die das Problem beheben, nennt der Hersteller nicht.
- Offen erreichbare Controller sind am stärksten gefährdet. Admins sollten das Protokoll auf unbekannte Zugriffe prüfen.
Cisco SD-WAN: Was der Hersteller zur Schwachstelle sagt
Cisco beschreibt einen Fehler im Peering-Mechanismus der SD-WAN-Komponenten. Dieser Mechanismus arbeitet nicht korrekt. Ein Angreifer ohne Konto kann deshalb präparierte Anfragen an ein System senden und die Prüfung umgehen.
Die Meldung nennt die früheren Produktnamen mit. Der Controller hiess zuvor vSmart, der Manager vManage und der Validator vBond. Wer noch mit den alten Namen arbeitet, ist also ebenfalls gemeint. Der Hersteller hat die Lösung umbenannt, daher kann es in der Dokumentation Abweichungen bei den Bezeichnungen geben.
Die Quelle nennt weder ein Datum für die erste Veröffentlichung noch eines für die letzte Aktualisierung. Eine zeitliche Einordnung ist nur über das Advisory selbst möglich. Cisco führt es in den eigenen Security Advisories.
Was ein Angreifer per NETCONF erreicht
Bei einem erfolgreichen Angriff meldet sich der Täter am Controller an. Er nutzt dafür ein internes Konto mit hohen Rechten, aber ohne Root-Status. Mit diesem Konto kommt er an NETCONF. Über diese Schnittstelle kann er die Netzkonfiguration der gesamten SD-WAN-Struktur verändern.
Das ist heikel, weil SD-WAN die Verbindungen zwischen Standorten steuert. Wer die Konfiguration ändert, kann Datenwege umlenken oder Regeln anpassen. Die Quelle beschreibt solche Folgen nicht im Detail. Sie nennt nur die Möglichkeit, das Netz zu manipulieren.
| Kennzahl | Wert | Bedeutung |
|---|---|---|
Betroffene Komponenten |
3 |
Controller, Manager und Validator sind verwundbar |
Nötige Anmeldung |
keine |
Der Angriff funktioniert ohne Konto und aus der Ferne |
Umgehungslösungen |
0 |
Nur ein Software-Update behebt die Lücke |
Zugriffsweg nach dem Angriff |
NETCONF |
Darüber lässt sich die Netzkonfiguration ändern |
So prüfst Du Deinen Catalyst SD-WAN Controller
Cisco warnt vor allem vor Controllern, die im Internet erreichbar sind und offene Ports haben. Für sie ist das Risiko einer Kompromittierung erhöht. Cisco empfiehlt eine Prüfung der Protokolldatei unter /var/log/auth.log.
Dabei suchst Du nach Einträgen mit dem Text «Accepted publickey for vmanage-admin». Entscheidend ist die Herkunft der IP-Adresse. Sie muss zu einer bekannten System-IP passen.
So gehst Du vor:
- Öffne die Datei auth.log auf dem Controller und suche nach den genannten Einträgen.
- Vergleiche jede Quelladresse mit den System-IPs in der Weboberfläche des Managers. Du findest sie unter WebUI > Devices in der Spalte System IP.
- Melde Dich beim Cisco Technical Assistance Center, wenn eine Adresse fremd wirkt oder Du unsicher bist.
- Erzeuge vorher auf jeder Steuerkomponente mit dem Befehl «request admin-tech» eine Diagnosedatei. Die Datei hilft dem Support bei der Auswertung.
Das Cisco Technical Assistance Center erreichst Du über die Kontaktseite des Herstellers.
Deshalb lohnt sich der Blick ins Protokoll auch dann, wenn Du schon aktualisiert hast. Ein früherer Zugriff bleibt dort sichtbar. Zudem verweist Cisco auf eigene Hinweise zur Prüfung von Peering-Ereignissen in den SD-WAN-Protokollen.
Einordnung: Was das für Admins in der Schweiz heisst
Wer SD-WAN von Cisco betreibt, sollte das Advisory sofort lesen. Die Meldung nennt keine Frist, aber der Angriff braucht keine Anmeldung. Das spricht für rasches Handeln. Weil es keine Umgehungslösung gibt, bleibt das Software-Update der einzige Weg. Zuerst solltest Du feststellen, welche Version läuft. Das Kapitel zur korrigierten Software im Advisory nennt die betroffenen Versionen. Zu Kosten macht die Quelle keine Angaben. Prüfe vorab, ob Controller direkt aus dem Internet erreichbar sind, denn dort ist das Risiko am grössten.
Fazit
Du weisst jetzt, welche drei Komponenten betroffen sind und woran Du einen Missbrauch im Protokoll erkennst. Der nächste Schritt ist klar: Lies das Advisory, spiele das passende Update ein und prüfe die Datei auth.log. Bei Auffälligkeiten wendest Du Dich an das Cisco-Support-Team. Weitere technische Hintergründe liefert Cisco Talos in einer eigenen Analyse.
Quellen: Cisco Security Advisories. Foto: dmitrochenkooleg / Pixabay. Stand: 29. Oktober 2026.
Geschrieben von der Redaktion · Freigegeben von Andreas Brauckmann · So arbeitet die Redaktion
Änderungshistorie
- — Artikel veröffentlicht.