Cisco behebt neun kritische Schwachstellen in Crosswork und Secure Workload

Zwei Advisories, neun CVEs und kein Workaround

Cisco hat zwei Security Advisories zu Schwachstellen in den Produkten Cisco Crosswork und Cisco Secure Workload veröffentlicht. Die Updates wurden am 19. August 2026 publiziert; das Crosswork-Advisory wurde am 21. August 2026 aktualisiert.

Die Schwachstellen wurden im Rahmen interner Sicherheitsaktivitäten entdeckt. Dabei kamen die bestehenden Testprozesse des Unternehmens sowie Frontier-Modelle der künstlichen Intelligenz zum Einsatz. Cisco gibt an, keine Kenntnis von aktiven Exploits, öffentlichen Bekanntmachungen oder einer böswilligen Ausnutzung der Schwachstellen zu haben.

Die Advisories fassen die Probleme nach CWE-Klassen zusammen und weisen jeder Gruppe eine CVE zu. Insgesamt handelt es sich um neun Identifikatoren: vier betreffen Crosswork und fünf Secure Workload.

Das Gesamtmaterial weist auf sechs Schwachstellen mit einem CVSS-Score von 10.0 hin. In den einzelnen Advisory-Einträgen und den verfügbaren Daten sind jedoch ausdrücklich fünf CVEs mit einer Bewertung von 10.0 aufgeführt: drei in Crosswork und zwei in Secure Workload. Die übrigen Scores liegen bei 9.9, 9.6 und 7.5.

Crosswork: SQL-Injection, fehlende Authentifizierung und kontrollierbares Dateisystem

Das Advisory cisco-sa-hardening-crosswork-UzDTU9Vh betrifft vier Produkte:

• Cisco Crosswork Data Gateway
• Cisco Crosswork Network Controller
• Cisco Crosswork Planning
• Cisco Crosswork Workflow Manager

Die Auswirkungen sind konfigurationsunabhängig. Revision 2.0 des Advisories hat Workflow Manager offiziell in die Liste der betroffenen Produkte aufgenommen.

Betroffene und korrigierte Versionen:

• Data Gateway, Network Controller und Planning: Version 7.2.1 und früher, behoben in 7.2.1-SP;
• Workflow Manager: Version 2.1.1 und früher, behoben in 2.1.1-SP.

Die vier Schwachstellen sind:

• CVE-2026-20030, CVSS 10.0, CWE-89: unzureichende Neutralisierung spezieller Elemente in SQL-Befehlen, also eine Form von SQL-Injection;
• CVE-2026-20357, CVSS 10.0, CWE-306: Eine kritische Funktion kann ohne Authentifizierung erreicht werden;
• CVE-2026-20358, CVSS 10.0, CWE-73: externe Kontrolle von Pfaden oder Ressourcen des Dateisystems;
• CVE-2026-20359, CVSS 9.9, CWE-522: unzureichender Schutz von Zugangsdaten.

Für die ersten drei CVEs weisen die CVSS-Vektoren auf netzwerkbasierte Angriffe mit geringer Komplexität hin, die ohne vorherige Berechtigungen und ohne Benutzerinteraktion möglich sind. Zu den potenziellen Auswirkungen zählen der Verlust der Vertraulichkeit, die Manipulation von Daten und die Nichtverfügbarkeit von Diensten.

CVE-2026-20359 erfordert dagegen geringe Berechtigungen. Bei CVE-2026-20358 wird die Auswirkung auf die Vertraulichkeit als nicht vorhanden eingestuft, während die Auswirkungen auf Integrität und Verfügbarkeit weiterhin hoch sind.

Cisco hat für diese Schwachstellen keine Workarounds veröffentlicht.

Secure Workload betrifft SaaS- und On-Premises-Installationen

Das zweite Advisory, cisco-sa-hardening-csw1-shSvndWP, betrifft Cisco Secure Workload Software in den Bereitstellungsmodellen Software as a Service und On-Premises. Auch hier sind die Auswirkungen laut Cisco unabhängig von der Gerätekonfiguration.

Die erforderlichen Korrekturen hängen vom verwendeten Release-Zweig ab:

• Zweig 3.10 und früher: Aktualisierung auf 3.10.9.1;
• Zweig 4.0: Aktualisierung auf 4.0.4.16.

Betroffen sind fünf CVEs:

• CVE-2026-20231, CVSS 9.9, CWE-74: unzureichende Neutralisierung spezieller Elemente mit möglicher Command-, OS- oder Argument-Injection;
• CVE-2026-20315, CVSS 10.0, CWE-284: fehlerhafte Zugriffskontrolle, einschließlich Autorisierungs-, Berechtigungs- und Bypass-Problemen;
• CVE-2026-20317, CVSS 10.0, CWE-287: fehlerhafte, fehlende oder umgehbare Authentifizierung;
• CVE-2026-20318, CVSS 9.6, CWE-20: fehlerhafte Eingabevalidierung, Path Traversal und externe Kontrolle von Pfaden;
• CVE-2026-20319, CVSS 7.5, CWE-119: nicht ausreichend begrenzte Operationen an den Buffer-Grenzen mit möglichem Overflow und Schreiben außerhalb der zulässigen Grenzen.

Die verfügbaren CVSS-Daten zeigen, dass zumindest einige der schwerwiegendsten Schwachstellen über das Netzwerk, ohne Authentifizierung und ohne Benutzerinteraktion ausgenutzt werden können. Für andere sind geringe Berechtigungen erforderlich. Zu den potenziellen Auswirkungen zählen der unbefugte Zugriff auf oder die Manipulation von Ressourcen, die Ausführung von Befehlen, das Umgehen von Kontrollen und die Beeinträchtigung der Verfügbarkeit.

Um die Gefährdung vollständig zu beseitigen, müssen alle Komponenten von Cluster, Agent und Connector aktualisiert werden. In SaaS-Bereitstellungen hat Cisco die Cluster-Komponente bereits aktualisiert; Kunden müssen daher Agent und Connector aktualisieren.

Auch für Secure Workload sind keine Workarounds verfügbar.

Was Administratoren tun sollten

Cisco empfiehlt die Aktualisierung auf die korrigierten Versionen. Vor dem Eingriff sollten Administratoren den verfügbaren Speicher, die Hardwarekompatibilität und die Unterstützung der eingesetzten Konfigurationen prüfen.

Für Crosswork gilt folgender Aktualisierungsplan:

• Data Gateway, Network Controller und Planning auf 7.2.1-SP;
• Workflow Manager auf 2.1.1-SP.

Für Secure Workload müssen folgende Komponenten aktualisiert werden:

• alle Komponenten des Zweigs 3.10 auf 3.10.9.1;
• alle Komponenten des Zweigs 4.0 auf 4.0.4.16.

Wer die Pakete nicht über den regulären Beschaffungskanal beziehen kann, sollte sich an das Cisco Technical Assistance Center oder den zuständigen Wartungsanbieter wenden. Cisco verlangt die Seriennummer und die URL des Advisories.

Es wurden keine Indicators of Compromise, spezifischen Erkennungsregeln oder speziellen forensischen Verfahren bereitgestellt. Kunden, die nicht sofort aktualisieren können, sollten zumindest die Erreichbarkeit der Management-Schnittstellen prüfen, ungewöhnliche Zugriffe kontrollieren und unerwartete Zugriffsversuche auf Dienste, Pfade oder administrative Funktionen überwachen. Diese Maßnahmen ersetzen jedoch nicht die Behebung.

CISA-KEV-Status und bekannte Ausnutzung

Die verfügbaren NVD-Einträge weisen für diese CVEs keinen Status im CISA-Katalog der bekannten, aktiv ausgenutzten Schwachstellen aus. Daher sind weder ein Aufnahmedatum in den KEV-Katalog noch eine CISA-Frist verfügbar.

Das Fehlen einer KEV-Frist mindert nicht die technische Schwere der Schwachstellen. Die hohen Scores beschreiben potenziell aus der Ferne ausnutzbare Schwachstellen, in einigen Fällen ohne Authentifizierung. Cisco erklärt jedoch, dass derzeit keine aktiven Angriffe oder bekannte böswillige Nutzung festgestellt wurden.

Es liegen nicht genügend Informationen vor, um festzustellen, ob Cisco kürzlich weitere Einträge im KEV-Katalog im Zusammenhang mit diesen Produkten hatte. Derzeit steht operativ fest, dass keine Workarounds verfügbar sind und die in den Advisories genannten korrigierten Releases bereitstehen.