Cisco Expressway: Schwachstelle im Datenbankdienst ermöglicht nicht authentifizierten Angreifern, Befehle aus der Ferne als Root auszuführen (CVE-2026-76466)

Was passiert ist

Ein Angreifer ohne vorherige Authentifizierung, der ein Cisco-Expressway-Gerät über das Netzwerk erreichen kann, kann diese Schwachstelle ausnutzen, um Betriebssystembefehle als Root auszuführen. Die Schwachstelle beruht darauf, dass der Datenbankdienst persistente Cookies verwendet. Wenn für das Clustering die Option TLS Verify Mode auf Enabled gesetzt ist, werden außerdem Client-Zertifikate nicht validiert. Ein Angreifer im Besitz der Cookies kann eine Verbindung zum Datenbankdienst herstellen und bestimmte Remote-Procedure-Call-Befehle aufrufen.

Der CVSS-Vektor beschreibt einen netzwerkbasierten Angriff mit geringer Komplexität, ohne erforderliche Berechtigungen und ohne Benutzerinteraktion sowie mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit. Cisco bewertet die Schwachstelle mit 9,8 als kritisch. Nach Angaben von Cisco PSIRT sind keine öffentlichen Ankündigungen oder böswilligen Nutzungen der Schwachstelle bekannt.

Wer betroffen ist

Die Cisco Expressway Series umfasst die Geräte Cisco Expressway Core (Expressway-C) und Cisco Expressway Edge (Expressway-E). Im CVE-Datensatz ist das betroffene Produkt Cisco TelePresence Video Communication Server (VCS) Expressway; Cisco nennt folgende Versionen: X8.1.1, X8.2.2, X8.6, X8.8.3, X8.11.0, X8.11.2, X8.11.3 und X12.5.2. Wenn Ihre Bereitstellung eine dieser Versionen verwendet, behandeln Sie sie als betroffen. Expressway-Geräte übernehmen üblicherweise Anrufsteuerung, Traversal und Firewall-Konnektivität für Videokonferenzen und sind häufig aus dem Internet erreichbar, was diese Schwachstelle besonders dringend zu überprüfen macht.

Was jetzt zu tun ist

1. Spielen Sie die korrigierte Software von Cisco ein. Cisco gibt an, dass korrigierte Software verfügbar ist. Prüfen Sie im Sicherheitshinweis von Cisco unter https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-vcs-static-cred-hr7EWZ8t den für Ihre Bereitstellung relevanten Upgrade-Pfad und spielen Sie die Software so bald wie möglich über Ihren üblichen Cisco-Updateprozess ein.
2. Da Cisco angibt, dass es keine Problemumgehungen gibt, schränken Sie den Netzzugriff auf den Datenbankdienst und auf die Verwaltungsschnittstellen von Expressway ein, bis das Update eingespielt ist. Erlauben Sie Verbindungen nur aus vertrauenswürdigen administrativen Netzen und achten Sie auf unerwarteten Datenverkehr.
3. Überprüfen Sie nach dem Update, ob auf dem Gerät eine korrigierte Version läuft, und stellen Sie sicher, dass vor dem Einspielen der Sicherheitsupdates keine unbefugten Konten oder Konfigurationsänderungen eingeführt wurden.

Wie man es erkennt

Cisco hat für diese Schwachstelle keine spezifischen Indikatoren für eine Kompromittierung veröffentlicht. Da der Angriffsweg eine Verbindung ohne vorherige Authentifizierung zum Datenbankdienst ist, prüfen Sie die Protokolle auf unerwartete Verbindungen zum Datenbankdienst und auf neue oder ungewöhnliche Prozesse, die auf betroffenen Expressway-Geräten als Root laufen. Prüfen Sie außerdem, ob im zeitlichen Umfeld verdächtiger Aktivitäten des Datenbankdienstes Änderungen an Konten vorgenommen wurden.

Über den Patch hinaus

Über das reine Einspielen von Sicherheitsupdates hinaus erinnert dieser Vorfall daran, dass aus dem Internet erreichbare Infrastruktur als Angriffsfläche erfasst werden muss und nicht als sicher vorausgesetzt werden darf. Mit Virtual CISO Services helfen wir Ihnen, Dienste und Ports zu identifizieren, die ohne Anmeldedaten erreichbar sind – genau die Angriffsfläche, die eine solche Schwachstelle relevant macht. Im Rahmen von Managed Detection and Response erhalten Sie die Überwachung, mit der sich Befehlsausführung mit Root-Rechten und die missbräuchliche Nutzung von Konten auf Geräten wie Expressway nach einem Kompromittierungsversuch erkennen lassen.