📋 Übersicht

CVE-2026-20079 ist eine kritische Schwachstelle in der Webschnittstelle der Software Cisco Secure Firewall Management Center (FMC).

Ein nicht authentifizierter Remote-Angreifer kann die Authentifizierung umgehen und beliebige Skripte mit Root-Rechten auf dem zugrunde liegenden Betriebssystem ausführen.

• CVE-ID: CVE-2026-20079
• CWE: CWE-288 (Authentifizierungsumgehung über einen alternativen Pfad oder Kanal)
• CVSS-v3.1-Basisscore: 10.0 (Kritisch)
• Vektor: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

Grundursache: Ein fehlerhafter Systemprozess, der beim Booten erstellt wird, ermöglicht es präparierten HTTP-Anfragen, die Authentifizierung zu umgehen.

---

🛠️ Auswirkungen

• Nicht authentifizierte Remote-Ausnutzung
• Voller Root-Zugriff auf das FMC-Appliance
• Möglichkeit zur Ausführung beliebiger Skripte und Befehle
• Mögliche Kompromittierung verwalteter Firewall-Threat-Defense-Geräte (FTD) (Scope: Changed)
• Vollständiger Verlust von Vertraulichkeit, Integrität und Verfügbarkeit

Diese Schwachstelle betrifft die Management-Ebene der On-Premises-Firewall-Infrastruktur von Cisco und ist daher in Produktionsumgebungen äußerst gefährlich.

---

🔍 Betroffene Produkte

Verwundbar:

• Cisco Secure Firewall Management Center (On-Premises), Versionen:
  • 7.0.x (alle)
  • 7.1.x (alle)
  • 7.2.0 – 7.2.10.2
  • 7.3.0 – 7.3.1.2
  • 7.4.0 – 7.4.3
  • 7.6.0 – 7.6.3
  • 7.7.0 – 7.7.11

Nicht betroffen:

• Cloud-Delivered FMC (cdFMC)
• Cisco Secure Firewall ASA Software
• Cisco Secure Firewall Threat Defense (FTD)-Geräte (sofern nicht von einem verwundbaren FMC verwaltet)

---

✅ Behobene Versionen

Cisco hat Patches veröffentlicht. Die genauen behobenen Versionen je Branch entnehmen Sie bitte dem offiziellen Advisory.

Empfehlung: Aktualisieren Sie so schnell wie möglich auf die neueste behobene Version.

---

⚠️ Details zur Ausnutzung

Angreifer können diese Schwachstelle ausnutzen, indem sie speziell präparierte HTTP-Anfragen an die FMC-Webschnittstelle senden. Die Schwachstelle beruht auf einem fehlkonfigurierten Prozess zur Bootzeit, der einen alternativen Authentifizierungspfad erzeugt und die Ausführung von Skripten als Root ohne Authentifizierung ermöglicht.

Kurz nach der Offenlegung tauchten öffentliche Proof-of-Concept-Exploits (PoC) auf.

---

🛡️ Gegenmaßnahmen

1. Sofortmaßnahme: Wenden Sie den von Cisco bereitgestellten Sicherheitspatch an.
2. Es sind keine offiziellen Workarounds verfügbar — Patchen ist die einzige Abhilfe.
3. Beschränken Sie den Zugriff auf die FMC-Verwaltungsschnittstelle (nutzen Sie Firewall-Regeln, VPN oder Zero-Trust-Segmentierung).
4. Überwachen Sie verdächtigen HTTP-Datenverkehr, der auf die FMC-Webschnittstelle abzielt.
5. Nutzen Sie das Software-Checker-Tool von Cisco, um Ihre Version zu überprüfen.

Offizielles Cisco-Security-Advisory: https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-onprem-fmc-authbypass-5JPp45V2

---

📚 Referenzen

• NVD-Detailseite
• Offizielles Cisco-Advisory
• Verwandte Schwachstelle: CVE-2026-20131 (Eine weitere kritische RCE im selben Produkt)

---

📝 Hinweise

• Dieses Repository dient ausschließlich Dokumentations-, Forschungs- und Verteidigungszwecken.
• Die Ausnutzung mit böswilliger Absicht ist illegal und wird ausdrücklich nicht empfohlen.
• Befolgen Sie stets die Grundsätze der verantwortungsvollen Offenlegung (Responsible Disclosure).