Cisco behebt 15 Schwachstellen: Kritisches Risiko für Crosswork und Secure Workload

Cisco hat Updates für 15 Schwachstellen veröffentlicht, die Plattformen für Netzwerkmanagement, Workload-Sicherheit, Unternehmenskommunikation und Contact Center betreffen. Die Fehler umfassen SQL-Injection, Authentifizierungsumgehung, Path Traversal, Command Injection, Buffer Overflow und das Auslesen von Dateien über XML.

Die schwerwiegendsten Schwachstellen betreffen Cisco Crosswork und Cisco Secure Workload. Vier Crosswork-Schwachstellen erreichen CVSS-Werte zwischen 9,9 und 10,0. Cisco liegen keine Hinweise auf eine Ausnutzung in realen Angriffen vor.

Crosswork: Vier kritische Schwachstellen in der Managementplattform

Für Cisco Crosswork steht die korrigierte Version 7.2.1-SP zur Verfügung. Das Update behebt vier kritische Schwachstellen:

• CVE-2026-20030: SQL-Injection, CVSS 10,0;
• CVE-2026-20357: fehlende Authentifizierung, CVSS 10,0;
• CVE-2026-20358: externe Kontrolle des Dateisystems, CVSS 10,0;
• CVE-2026-20359: unzureichender Schutz von Zugangsdaten, CVSS 9,9.

Die ersten drei Fehler sind über das Netzwerk ausnutzbar, erfordern weder eine Authentifizierung noch eine Benutzerinteraktion und können die Vertraulichkeit, Integrität und Verfügbarkeit der Systeme beeinträchtigen. Die vierte Schwachstelle setzt dagegen bereits vorhandene Berechtigungen voraus, weist jedoch weiterhin eine sehr hohe Auswirkung auf.

Cisco zufolge fasst jede CVE mehrere Probleme derselben Klasse zusammen. Ein erfolgreicher Angriff könnte die Remote-Codeausführung, das Umgehen von Authentifizierungskontrollen, das Durchqueren von Dateisystempfaden sowie das Überschreiben oder Löschen von Dateien ermöglichen.

Das Risiko betrifft daher nicht nur die Verfügbarkeit der Plattform. Ein Angreifer könnte Crosswork als Zugangspunkt zu administrativen Funktionen verwenden oder von den Managementkomponenten genutzte Daten und Dateien verändern.

Secure Workload kombiniert Zugriffsprobleme und Injection-Schwachstellen

Cisco hat zwei korrigierte Versionen für Secure Workload veröffentlicht:

• 4.0.4.16;
• 3.10.9.1.

Die Updates beheben fünf CVEs. Die ersten vier sind als kritisch eingestuft:

• CVE-2026-20315: Fehler bei Zugriffs- und Authentifizierungskontrollen mit möglicher Umgehung; CVSS 10,0;
• CVE-2026-20317: weitere Probleme bei Autorisierung und Authentifizierung, die ebenfalls zur Umgehung der Kontrollen ausgenutzt werden können; CVSS 10,0;
• CVE-2026-20231: Code Injection und OS Command Injection; CVSS 9,9;
• CVE-2026-20318: unzureichende Eingabevalidierung und Path Traversal; CVSS 9,6;
• CVE-2026-20319: Buffer Overflow und Schreibzugriffe außerhalb der Speichergrenzen.

Die verfügbaren Informationen zeigen, dass die ersten drei Schwachstellen mit bekanntem Score über das Netzwerk ohne Authentifizierung erreichbar sind. Die mit CVE-2026-20231 verbundene Code Injection setzt dagegen bereits vorhandene Berechtigungen voraus. Zu den möglichen Auswirkungen zählen die Kompromittierung und Manipulation von Daten sowie die Unterbrechung von Diensten.

Die Kombination aus der Umgehung von Berechtigungen und Injection-Möglichkeiten erhöht das Betriebsrisiko. Ein Angreifer könnte zunächst die Anwendungskontrollen umgehen und anschließend manipulierte Befehle oder Code nutzen, um auf die zugrunde liegende Umgebung einzuwirken.

Für CVE-2026-20319 ist kein individueller CVSS-Wert angegeben. Die Schwachstelle betrifft dennoch den Speicher und kann zu Datenbeschädigung, Abstürzen oder unerwartetem Anwendungsverhalten führen.

BroadWorks ermöglicht das Auslesen von Dateien über externe XML-Entitäten

Cisco hat außerdem CVE-2026-20320 behoben, eine schwerwiegende Schwachstelle im XML-Parser der Open Client Interface (OCI) von BroadWorks.

Ursache ist die standardmäßig aktivierte Auflösung externer Entitäten. Ein nicht authentifizierter Remote-Angreifer kann speziell gestaltete XML-Nachrichten senden und das System dazu bringen, lokale Dateien zu lesen. Der Inhalt wird anschließend mit den Berechtigungen eines BroadWorks-Benutzers zurückgegeben, wodurch Konfigurationen und andere vertrauliche Informationen offengelegt werden können.

Bei dem Problem handelt es sich um eine Form von XML External Entity Injection. Der Erfolg des Angriffs hängt von den für den Prozess zugänglichen Dateien und den in der Installation verfügbaren Berechtigungen ab, setzt jedoch nicht zwingend ein gültiges Konto voraus.

Die Korrektur ist in Release RI.2026.07 für folgende Komponenten enthalten:

• BroadWorks Application Delivery Platform;
• BroadWorks Application Server;
• BroadWorks Profile Server;
• BroadWorks Xtended Services Platform.

Betreiber sollten die Release-Version jeder Komponente prüfen, da das Update die gesamte von Cisco genannte Komponentenfamilie betrifft.

Die weiteren Schwachstellen betreffen Contact Center, RoomOS und Industrieswitches

Das Paket umfasst außerdem Schwachstellen mittlerer Schwere in:

• Unified Intelligence Center;
• RoomOS;
• Industrial Ethernet (IE) 1000 Series-Switches;
• Packaged Contact Center Enterprise (CCE);
• Unified Contact Center Enterprise (CCE).

Für diese Produkte liegen weder CVE-IDs noch korrigierte Builds oder technische Fehlerbeschreibungen vor. Auf Grundlage der veröffentlichten Informationen lässt sich daher nicht feststellen, welche Komponenten betroffen sind, über welchen Angriffsvektor ein Angriff erfolgen könnte oder ob bestimmte Ausnutzungsbedingungen erforderlich sind.

Insgesamt hat Cisco 15 Schwachstellen behoben. Die detaillierten Informationen konzentrieren sich auf die drei wichtigsten Produktgruppen: Crosswork, Secure Workload und BroadWorks.

Was Administratoren tun sollten

Priorität haben folgende Updates:

• Crosswork 7.2.1-SP;
• Secure Workload 4.0.4.16 oder 3.10.9.1;
• BroadWorks RI.2026.07 für die vier betroffenen Komponenten.

Nach der Installation sollte überprüft werden, ob tatsächlich die korrigierte Version ausgeführt wird. Dabei sind auch sekundäre Knoten, Appliances und verteilte Komponenten zu berücksichtigen. Bei Crosswork und Secure Workload sollte die Erreichbarkeit administrativer Schnittstellen aus nicht vertrauenswürdigen Netzwerken dringend neu bewertet werden.

Für BroadWorks sollten die Logs gezielt auf ungewöhnliche OCI-Anfragen, XML-Nachrichten mit Deklarationen externer Entitäten und atypische Zugriffe auf Konfigurationsdateien untersucht werden. Offizielle Indicators of Compromise oder spezifische Erkennungsregeln wurden nicht bereitgestellt.

Für Unified Intelligence Center, RoomOS, die IE 1000 Series und die beiden CCE-Plattformen sollten Administratoren die Cisco-Advisories für die jeweiligen Installationen konsultieren und die vom Hersteller angegebenen Builds einspielen. Temporäre Workarounds wurden nicht veröffentlicht.

Es ist nicht bekannt, ob diese Schwachstellen im KEV-Katalog der CISA enthalten sind. Daher liegen weder ein Aufnahmedatum noch eine CISA-Frist für die Behebung vor. Cisco meldet außerdem keine aktiven Ausnutzungskampagnen. Das Fehlen entsprechender Hinweise beseitigt das Risiko jedoch nicht: Die maximalen CVSS-Werte und die Möglichkeit einer Remote-Ausnutzung machen die Updates für exponierte Umgebungen zu einer hohen Priorität.