2026-1276: Cisco Integrated Management Controller (IMC) Software: Mehrere Schwachstellen ermöglichen u. a. das Umgehen von Sicherheitsvorkehrungen

Historie:

Version 1 (2026-04-07 11:19)

Neues Advisory

Version 2 (2026-04-23 06:37)

Der Hersteller hat den Sicherheitshinweis cisco-sa-cimc-xss-A2tkgVAB (CVE-2026-20085, CVE-2026-20087, CVE-2026-20088, CVE-2026-20089, CVE-2026-20090) hinsichtlich der Fehlerbehebungsinformation u. a. für Cisco Secure Network Analytics aktualisiert.

Betroffene Software

Netzwerk

Betroffene Plattformen

Hardware
Cisco

Beschreibung:

Ein Angreifer kann mehrere Schwachstellen aus der Ferne ausnutzen, um Sicherheitsvorkehrungen zu umgehen, beliebigen Programmcode mit den Rechten des Administrators auszuführen und Cross-Site-Scripting (XSS)-Angriffe durchzuführen.

Für die Ausnutzung der Schwachstellen sind unterschiedliche Privilegien erforderlich. Zwei Schwachstellen erfordern die Interaktion eines Benutzers. Die erfolgreiche Ausnutzung zweier Schwachstellen kann Einfluss auf andere Komponenten haben.

Die Schwachstellen betreffen den Cisco Integrated Management Controller (IMC) der Catalyst 8300 Series Edge uCPE und der 5000 Series ENCS Plattformen sowie der Cisco UCS C-Series, UCS E-Series und UCS S-Series Server. Cisco-Appliances, die auf einer vorkonfigurierten Version eines Cisco UCS C-Series-Servers basieren, sind ebenfalls von den Sicherheitslücken betroffen, wenn sie einen Zugriff auf die Benutzerschnittstelle des Cisco IMC ermöglichen.

Für Catalyst 8300 Series Edge uCPE steht die Version 4.18.3 und für 5000 Series ENCS die Version 4.15.5 der Cisco Enterprise NFV Infrastructure Software (NFVIS) bereit, welche auch Cisco IMC während des Firmware-Upgrades automatisch aktualisiert. Bei Catalyst 8300 Series Edge uCPE ist der Versionszweig 26.1 von den Schwachstellen nicht betroffen. Für UCS C‑Series M5 Rack Server steht Version 4.3(2.260007) als Sicherheitsupdate bereit; für UCS C‑Series M6 Rack Server die Versionen 4.3(6.260017) und 6.0(2.260044); für UCS E‑Series M3 Version 3.2.17; für UCS E‑Series M6 Version 4.15.3; und für UCS S‑Series Storage Server Version 4.3(6.260017). Für verschiedene Cisco-Appliances, die auf einer vorkonfigurierten Version eines Cisco UCS C-Series-Servers basieren, stehen verschiedene Versionen des Cisco IMC als Sicherheitsupdates bereit: 4.3(2.260007) (M5), 4.3(6.260017) (M6), 6.0(1.250174) (M6) sowie 6.0(1.250192) (M6). Die genauen Details für die Aktualisierung dieser können sie der Tabelle im Hersteller-Advisory entnehmen.

Schwachstellen:

CVE-2026-20085

Schwachstelle in Cisco Integrated Management Controller (IMC) Software ermöglicht Cross-Site-Scripting-Angriff

CVE-2026-20087 CVE-2026-20088 CVE-2026-20089 CVE-2026-20090

Schwachstellen in Cisco Integrated Management Controller (IMC) Software ermöglichen Cross-Site-Scripting-Angriffe

CVE-2026-20093

Schwachstelle in Cisco Integrated Management Controller (IMC) Software ermöglicht Umgehen von Sicherheitsvorkehrungen

CVE-2026-20094

Schwachstelle in Cisco Integrated Management Controller (IMC) Software ermöglicht Ausführen beliebigen Programmcodes mit Administratorrechten

CVE-2026-20095 CVE-2026-20096

Schwachstellen in Cisco Integrated Management Controller (IMC) Software ermöglichen Ausführen beliebigen Programmcodes

CVE-2026-20097

Schwachstelle in Cisco Integrated Management Controller (IMC) Software ermöglicht Ausführen beliebigen Programmcodes

© DFN-CERT Services GmbH, all rights reserved!
Bei einer Weitergabe der Informationen außerhalb dieser Webseite ist auf den Ursprung in angemessener Weise hinzuweisen.
Im Übrigen gelten die Bestimmungen zum Copyright für diese Webseite.