Kritische Lücke in Cisco Secure Workload

CVE-2026-20223 mit CVSS 10.0 in Cisco Secure Workload Fehlende API-Authentifizierung gibt Angreifern Site-Admin-Rechte

Eine kritische Schwachstelle mit CVSS 10.0 in Cisco Secure Workload erlaubt unauthentifizierten Angreifern den Zugriff auf interne REST-APIs. Über ma­ni­pu­lierte Anfragen lassen sich Site-Admin-Rechte erlangen und Kon­fi­gu­ra­ti­onen über Mandantengrenzen hinweg verändern. Patches sind verfügbar, SaaS-Installationen hat Cisco bereits serverseitig korrigiert.

Die kritische Schwachstelle CVE-2026-20223 mit CVSS 10.0 erlaubt unauthentifizierten Angreifern Site-Admin-Rechte in Cisco Secure Workload zu erlangen. Patches sind verfügbar.

(Bild: © ImageFlow - stock.adobe.com)

Cisco stuft die Schwachstelle CVE-2026-20223 als kritisch ein und hat dazu am 20.05.2026 ein Advisory veröffentlicht. Betroffen ist die Cisco Secure Workload Cluster Software, die Plattform für Workload-Sichtbarkeit und Mikrosegmentierung, früher unter dem Namen Tetration geführt. Der Fehler steckt in der Zugriffsprüfung interner REST-APIs und hat einen CVSS-Wert von 10.0.

Fehlende Authentifizierung an internen Schnittstellen

Die interne Programmierschnittstelle prüft Authentifizierung und Berechtigungen nicht ausreichend. Ein entfernter Akteur sendet eine manipulierte API-Anfrage an einen ver­wund­baren Endpunkt und kann darüber Aktionen mit den Rechten der Rolle Site Admin ausführen. Cisco ordnet den Fehler der Kategorie CWE-306 zu, der fehlenden Authentifizierung für kritische Funktionen. Ein erfolgreicher Angriff verlangt keine Zugangsdaten, keine Nutzerinteraktion und nur geringe Komplexität, was den Höchstwert begründet.

Site Admin bildet die höchste Rolle im Mandantenmodell von Secure Workload. Ein Angreifer mit dieser Berechtigung liest sensible Informationen aus, ändert Konfigurationen und überschreitet dabei die Grenzen einzelner Mandanten. In Umgebungen, in denen Secure Workload die Segmentierung und Sicherheitsrichtlinien durchsetzt, reicht die Wirkung über reinen Datenabfluss hinaus bis zur operativen Kontrolle über die Policy.

Betroffene Versionen und verfügbare Updates

Die Lücke betrifft SaaS- und On-Premises-Installationen, unabhängig von der Geräte­kon­fi­gu­ra­ti­on. Das webbasierte Management-Interface bleibt außen vor, der Fehler beschränkt sich auf interne REST-APIs. Workarounds gibt es nicht, allein das Einspielen der korrigierten Software schließt die Schwachstelle.

Für den Zweig 3.10 liefert Cisco die Korrektur in Release 3.10.8.3, für den Zweig 4.0 in Release 4.0.3.17. Installationen mit Version 3.9 oder älter erhalten keinen direkten Fix, hier steht der Wechsel auf einen korrigierten Zweig an. Die SaaS-Variante hat Cisco bereits serverseitig korrigiert, dort fällt eine Aktion der Kunden weg. Intern führt Cisco das Problem unter der Bug-ID CSCwt99942.

Fazit

Cisco gibt an, die Schwachstelle bei internen Sicherheitstests entdeckt zu haben. Nach Angaben des PSIRT liegen keine Hinweise auf öffentliche Berichte oder eine bösartige Nutzung vor. Mit einem verfügbaren Patch und damit dokumentierten technischen Details steigt das Risiko einer Ausnutzung für ungepatchte Cluster.

(ID:50864007)