Zero Day at Cisco SD WAN bietet Privileg Escalation und das versteckte Troot-Konto Bedrohung der Lieferkette

Ein neuer Bericht von Mandiant, der Google-Beantwortungs- und Nachrichteneinheit, zeigt, dass ein unbekannter Schauspieler explodierte als 0-Tag eine hohe Schwerelosigkeit in Cisco Catalyst SD-WAN mindestens zwei Monate vor seiner öffentlichen Offenlegung. Schwachstelle, aufgezeichnet als CVE-2026-20245(CVSS 7.8) ermöglicht es einem authentifizierten lokalen Angreifer, Befehle mit hohen Privilegien auszuführen, indem eine speziell gestaltete Datei geladen wird, die eine unzureichende Benutzereingangsvalidierung nutzt.

Die Ergebnisse beschreiben eine Kampagne, die gegen einen Kommunikationsdienstleister gerichtet ist, in dem zwei getrennte Wellen von unbefugter Aktivität detektiert wurden: eine zwischen Ende 2025 und Januar 2026 und eine im März 2026. In der ersten Phase missbrauchten die Angreifer wahrscheinlich Authentifizierungslücken, die noch nicht offengelegt wurden (CVE-2026-20127 oder CVE-2026-20182), um Rogue Peering-Verbindungen zu erstellen; in der zweiten Stufe, nach der Aktualisierung der Software eines Geräts, nutzten sie nicht diese Fehler, sondern konnten auf gestohlene Zertifikate und die Ausbeutung von CVE-2026-20245 durch Anhebung eines schädlichen CSV (e _ tenant.csv zu erstellen Wurzel.

Die Operation zeigt ein besorgniserregendes Muster von guten Offensive-Praktiken: nach Änderung der administrativen Anmeldeinformationen, um die Kontrolle zu ermitteln, die Angreifer rückgängig gemacht Passwörter und entfernte Spuren - erstellte Dateien, Konfigurationsänderungen -, um die Erkennung und forensische Analyse schwierig zu machen. Diese Art von Anti-Forensik in Verbindung mit dem Standort des Eingriffs an Kantengeräten (SD-WAN) erschwert die Sichtbarkeit der Verteidiger, weil diese Teams oft keine EDR-Lösungen und reiche Telemetrie haben, die es erlauben, die seitliche Bewegung oder die Verkehrsaufnahme in diesem Westen zu verfolgen.

Neben den spezifischen Auswirkungen auf das betreffende Netz hat der Betrieb von SD-WAN-Treibern systemische Auswirkungen: Ein Angreifer mit Wurzel auf den Controller kann Routen manipulieren, den Verkehr zwischen Zweigen abfangen oder umleiten, Beharrlichkeit verbergen und Material für spätere Angriffe auf verbundene Kunden oder Lieferanten erhalten. Für Netzbetreiber und Sicherheitsausrüstung erhöht dies das Risiko auf Ebenen Lieferkette und Kontinuität des Dienstes.

Die unmittelbaren und empfohlenen Maßnahmen für Manager und Reaktionsteams umfassen: Überprüfung und sofortige Anwendung der vom Lieferanten veröffentlichten Patches und Minderungen; Verdrehen und Stärkung der administrativen Anmeldeinformationen; Auditing / etc / passd und / etc / Schattendateien auf der Suche nach versteckten Konten wie Wurzel; überprüfen Sie die jüngsten Änderungen in den Einstellungen und Backups, um verdächtige Restaurationen zu erkennen; und halten Sie forensische Kopien von Konfigurationen und Festplatten vor jeder Restitution, die Beweise auslöscht. Es ist auch kritisch, das Remote-Log (syslog / SIEM) zu aktivieren und zu zentralisieren, um Ereignisse zu bewahren, die Angreifer versuchen könnten, lokal zu entfernen.

Auf einer breiteren operativen Ebene sollten die Verwaltungs- und Datenpläne von SD-WAN streng getrennt werden, der administrative Zugang sollte durch die Grundsätze der mindestens Privilegien und Rollenzugriffskontrollen und fordern eine starke Authentifizierung - idealerweise MFA - für netadmin Zugriffe. Die Verwaltung von Zertifikaten und Schlüsseln sollte Rotationen, Erfinderschaft und Erkennung einer anormalen Verwendung umfassen; wenn es Beweise für Zertifikatsdiebstahl gibt, gehen Sie zum Widerruf und Ersatz. Die Integration von Dateiintegritätsüberwachung und kryptographischen Verifikationen kann dazu beitragen, binäre und Konfigurationsänderungen zu erkennen.

Technisch sollten die Teams nach konkreten Drucken suchen: Spuren von CSV-Datei-Uploads auf Management-Schnittstellen, geänderte Zeitmarken auf Konfigurationsdateien, unbefugte Peering-Ereignisse und Skripte Beweise, die Dateien löschen. Wenn die Verpflichtung erkannt wird, trennen Sie das betroffene Gerät vom Produktionsnetz und arbeiten mit einem spezialisierten IR-Team, um Beweise zu bewahren, von sauberen Bildern wieder aufzubauen und Lieferanten und Kunden nach regulatorischen und Berichtspflichten zu kommunizieren.

Dieser Vorfall unterstreicht auch die Notwendigkeit einer größeren Transparenz und Koordinierung zwischen Lieferanten und Kunden. Netzwerkgerätehersteller sollten die verfügbare Telemetrie verbessern, sichere Fernsteuerungsmechanismen bereitstellen und Patchs beschleunigen, während Organisationen Edge-Geräte in ihre Erkennungs- und Antwortpläne integrieren sollten. Für mehr technische Kontext und Updates sehen Sie die Mandiant-Analyse auf Ihrem Blog und die CVE-Tab im nationalen Sicherheitsrepository: Mandiant Blog und NVD - CVE-2026-20245.

Kurz gesagt, die frühe Ausbeutung von CVE-2026-20245 ist eine Erinnerung daran, dass Netzwerkgeräte privilegierte Ziele für fortgeschrittene Akteure sind. Die Implementierung von Patches, die Stärkung der Kontrolle und Überwachung des SD-WAN-Managements und mit robusten forensischen Antwortverfahren sind keine Optionen: Sie sind Anforderungen, um das Belichtungsfenster zu reduzieren und den Umfang zukünftiger Ereignisse zu begrenzen.