yonathanpy/cve-2026-20127-cisco-sd-wan-preauth-rceProof-of-Concept-Exploit für CVE-2026-20127, eine Pre-Authentication-RCE in Cisco SD-WAN, die die Registrierung eines bösartigen Peers und die Umgehung der Authentifizierung für Forschung und defensive Tests demonstriert.
Dieses Repository enthält einen Proof-of-Concept-Exploit (PoC) für CVE-2026-20127, eine kritische Remote Code Execution (RCE)-Schwachstelle vor der Authentifizierung, die Cisco Catalyst SD-WAN Controller (ehemals vSmart) und Cisco Catalyst SD-WAN Manager (ehemals vManage) betrifft.
Die Schwachstelle ermöglicht es einem entfernten, nicht authentifizierten Angreifer, direkt mit Management- und Control-Plane-Komponenten der Cisco-SD-WAN-Infrastruktur zu interagieren, was letztendlich zu einer vollständigen administrativen Kompromittierung des SD-WAN-Fabric führt.
Laut öffentlichen Berichten und Herstelleranalysen wurde diese Schwachstelle seit mindestens 2023 aktiv in freier Wildbahn ausgenutzt. Cisco führt die Ausnutzungsaktivität auf einen hochentwickelten Bedrohungscluster zurück, der als UAT-8616 identifiziert wurde und die Schwachstelle genutzt hat, um dauerhaften administrativen Zugriff auf exponierte SD-WAN-Umgebungen zu erlangen.
Da Cisco SD-WAN in Unternehmens-WAN-Infrastrukturen, Service-Provider-Netzwerken und kritischen Infrastrukturumgebungen weit verbreitet ist, kann eine erfolgreiche Ausnutzung erhebliche betriebliche und sicherheitsrelevante Auswirkungen haben, einschließlich der vollständigen Kontrolle über Netzwerk-Orchestrierung und Routing-Verhalten in geografisch verteilten Netzwerken.
Dieses Repository bietet eine forschungsorientierte Implementierung des Exploits, um Sicherheitsforschern, Verteidigern und Netzwerkadministratoren zu helfen, die Mechanik der Schwachstelle zu verstehen und Erkennungs- und Minderungsstrategien zu verbessern.
CVE-ID: CVE-2026-20127
Betroffene Plattformen:
Schwachstellenklasse:
Auswirkungsgrad: Kritisch
Die Schwachstelle beruht auf einer unzureichenden Validierung bestimmter Control-Plane-Kommunikationspfade innerhalb der SD-WAN-Management-Infrastruktur. Durch die Erstellung einer bösartigen Interaktion mit der Management-Schnittstelle kann ein Angreifer einen nicht autorisierten Peer innerhalb der SD-WAN-Control-Plane registrieren und Privilegien ohne gültige Anmeldeinformationen eskalieren.
Sobald der bösartige Peer von der Control-Plane akzeptiert wird, erlangt der Angreifer die Fähigkeit, mit internen Management-Diensten zu interagieren und privilegierte Operationen durchzuführen.
Sicherheitsuntersuchungen haben aktive Ausnutzungskampagnen ab 2023 identifiziert, die auf exponierte Cisco-SD-WAN-Management-Endpunkte abzielen.
Cisco führt diese Angriffe auf UAT-8616 zurück, einen Bedrohungsakteur-Cluster, der sich auszeichnet durch:
Beobachtetes Angreiferverhalten umfasst:
Die Ausnutzung von SD-WAN-Infrastruktur ist besonders gefährlich, da eine Kompromittierung auf der Orchestrierungsebene eine globale Netzwerkmanipulation über alle verbundenen Standorte hinweg ermöglicht.
Eine erfolgreiche Ausnutzung von CVE-2026-20127 kann es einem Angreifer ermöglichen, die folgenden Aktionen durchzuführen:
Angreifer können einen bösartigen Peer-Knoten erstellen und registrieren, der der SD-WAN-Management-/Control-Plane-Infrastruktur beitritt. Sobald er vom Controller akzeptiert wird, kann der nicht autorisierte Peer als vertrauenswürdiges Gerät mit internen Komponenten interagieren.
Die Schwachstelle ermöglicht es Angreifern, Authentifizierungsmechanismen vollständig zu umgehen, wodurch die Notwendigkeit gültiger administrativer Anmeldeinformationen entfällt.
Durch die Interaktion mit internen Diensten nach dem ersten Zugriff kann der Angreifer vollständige administrative Privilegien über die SD-WAN-Management-Schnittstelle erlangen.
Der Exploit ermöglicht es Angreifern, mit dem NETCONF-Dienst zu interagieren, der auf TCP-Port 830 verfügbar ist und für die Netzwerkkonfigurationsverwaltung verwendet wird.
Der NETCONF-Zugriff kann es Angreifern ermöglichen:
Da Cisco SD-WAN eine zentralisierte Orchestrierung verwendet, kann ein Angreifer mit administrativer Kontrolle:
In großen Bereitstellungen bietet dies effektiv Kontrolle über die gesamte WAN-Infrastruktur.
Dieses Repository enthält eine forschungsorientierte Proof-of-Concept-Implementierung, die die Ausnutzung von CVE-2026-20127 demonstriert.
Der PoC soll veranschaulichen:
Die Implementierung ist bewusst für Analyse und Reproduzierbarkeit in kontrollierten Testumgebungen strukturiert.
Dieses Projekt ist bestimmt für:
Es ermöglicht Verteidigern und Forschern, Folgendes besser zu verstehen:
Dieser Exploit sollte nur innerhalb kontrollierter Laborumgebungen ausgeführt werden, wie zum Beispiel:
Tests gegen Produktionssysteme ohne Autorisierung werden ausdrücklich nicht empfohlen und können gegen geltende Gesetze oder Richtlinien verstoßen.
Dieses Repository und der gesamte zugehörige Code werden ausschließlich für Bildungs-, Forschungs- und defensive Sicherheitszwecke bereitgestellt.
Durch den Zugriff auf, das Herunterladen oder die Nutzung jeglichen Materials in diesem Repository stimmen Sie den folgenden Bedingungen zu:
Die nicht autorisierte Ausnutzung von Schwachstellen gegen Systeme ohne Erlaubnis ist in vielen Rechtsordnungen illegal.
ZeroZenX
Beiträge, die die Dokumentation, Analyse oder defensive Erkenntnisse im Zusammenhang mit der Schwachstelle verbessern, sind willkommen.
Bitte stellen Sie sicher, dass Beiträge auf den Forschungs- und defensiven Sicherheitsschwerpunkt des Repositories ausgerichtet bleiben.
Anerkennung gebührt den Sicherheitsforschern und Incident-Response-Teams, die die mit CVE-2026-20127 verbundene Ausnutzungsaktivität untersucht und offengelegt haben und dazu beigetragen haben, das Bewusstsein für die Risiken zu schärfen, die die Cisco-SD-WAN-Infrastruktur betreffen.
Ihre Arbeit hilft Verteidigern, neu auftretende Bedrohungen zu verstehen, die auf moderne Netzwerk-Orchestrierungsplattformen abzielen.
