Cisco Unified CM: SSRF-Lücke ermöglicht Root-Rechte (CVE-2026-20230)

Zusammenfassung

CVE-2026-20230 betrifft Cisco Unified Communications Manager (Unified CM) und Unified Communications Manager Session Management Edition (Unified CM SME). Die Schwachstelle ermöglicht einem nicht authentifizierten, entfernten Angreifer Server-Side Request Forgery (SSRF)-Angriffe. Durch das Schreiben beliebiger Dateien auf das zugrundeliegende Betriebssystem kann der Angreifer seine Privilegien auf Root-Ebene ausweiten. Cisco bewertet die Schwachstelle trotz eines CVSS-Scores von 8.6 (High) mit dem Security Impact Rating (SIR) „Critical“, da eine erfolgreiche Ausnutzung zur vollständigen Kompromittierung des Systems führen kann.

Ein Proof-of-Concept-Exploit ist öffentlich verfügbar, und ersten Berichten zufolge wird die Schwachstelle bereits in freier Wildbahn ausgenutzt.

Technische Details

Die Sicherheitslücke (CWE-918) befindet sich in der HTTP-Anfrageverarbeitung des WebDialer-Dienstes von Cisco Unified CM. Aufgrund unzureichender Eingabevalidierung kann ein Angreifer eine speziell präparierte HTTP-Anfrage an den WebDialer-Dienst senden. Der Dienst führt daraufhin nicht autorisierte Server-seitige Operationen aus und schreibt mittels file://-URIs beliebige Dateien auf das Betriebssystem. Durch die Kontrolle über Dateipfad und -inhalt kann der Angreifer eine vollständige Remotecodeausführung erreichen und anschließend seine Rechte auf Root ausweiten.

Voraussetzung für die Ausnutzung ist der Zugriff auf den Hostnamen des Zielsystems und ein aktivierter WebDialer-Dienst. Der WebDialer ist standardmäßig deaktiviert.

CVSS-Vektor: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:H/A:N CWE: CWE-918 (Server-Side Request Forgery) Cisco Bug ID: CSCws67331

Betroffene Systeme

Verwundbar sind alle Cisco Unified CM- und Unified CM SME-Installationen, bei denen der WebDialer-Dienst aktiviert ist. Im Einzelnen:

• Cisco Unified Communications Manager (Unified CM)
• Cisco Unified Communications Manager Session Management Edition (Unified CM SME)

Nicht verwundbar sind Systeme, bei denen der WebDialer-Dienst deaktiviert ist, sowie alle anderen Cisco-Produkte.

WebDialer-Status prüfen

1. Anmelden an der Cisco Unified CM Administration-Oberfläche
2. Navigation → „Cisco Unified Serviceability“ → „Go“
3. Tools → „Control Center - Feature Services“
4. Im Abschnitt „CTI Services“ den Status von „Cisco WebDialer Web Service“ prüfen

Empfehlungen und Maßnahmen

Cisco hat Sicherheitsupdates für diese Schwachstelle veröffentlicht. Ein Upgrade auf eine behobene Version wird dringend empfohlen:

Version	Erstes behobenes Release
14	14SU6
15	15SU5 (Sep 2026) oder COP1

Es sind keine Workarounds verfügbar, die die Schwachstelle vollständig adressieren. Als temporäre Mitigation kann der WebDialer-Dienst deaktiviert werden:

1. Anmelden an der Cisco Unified CM Administration-Oberfläche
2. Navigation → „Cisco Unified Serviceability“ → „Go“
3. Tools → „Service Activation“
4. Im Abschnitt „CTI Services“ die Checkbox „Cisco WebDialer Web Service“ deaktivieren und speichern

Zusätzliche Empfehlungen:

• WebDialer-Dienst deaktivieren, wenn nicht zwingend erforderlich
• Netzwerkzugriff auf Unified CM-Verwaltungs- und Webschnittstellen durch Firewall-Regeln und Segmentierung einschränken
• Systeme schnellstmöglich auf die behobenen Versionen aktualisieren
• Überwachung auf ungewöhnliche HTTP-Anfragen an den WebDialer-Dienst einrichten

Da ein Proof-of-Concept-Exploit öffentlich verfügbar ist und erste aktive Angriffe beobachtet wurden, besteht dringender Handlungsbedarf.

Quellen

• Cisco Security Advisory cisco-sa-cucm-ssrf-cXPnHcW
• NVD Eintrag CVE-2026-20230
• Cisco Bug CSCws67331