Über die BroadWorks-Lücke griff laut Malbear Labs ein Akteur mit KI-Unterstützung einen europäischen Telekommunikationsanbieter an. Patches gibt es seit Wochen.
Webmail-Anhänge als Einfallstor
Lücken in Cisco BroadWorks und Openwave ausgenutzt
Bildquelle: HJBC/Shutterstock.com
Angreifer nutzen Sicherheitslücken in der Telefonie-Plattform Cisco BroadWorks und im Webmail-Baustein Openwave Webtop Media Transcoder aus. Die US-Cybersicherheitsbehörde CISA hat beide Lücken am 10. November in ihren Katalog aktiv ausgenutzter Schwachstellen (KEV) aufgenommen, zusammen mit vier weiteren, darunter Lücken in Microsoft Outlook, Google Chrome und Geräten von Barracuda. US-Bundesbehörden müssen die Korrekturen bis zum 24. November einspielen. Für beide Lücken gibt es bereits seit Wochen Updates.
Konfigurationsdaten ohne Anmeldung
Die Lücke in Cisco BroadWorks (CVE-2026-20320) ist mit einem CVSS-Wert von 7,5 als hoch eingestuft. Cisco hatte sie am 19. August veröffentlicht und mit der Version RI.2026.07 geschlossen. Es handelt sich um eine sogenannte XML External Entity Injection im XML-Parser der Schnittstelle Open Client Interface (OCI). Angreifer können darüber ohne Anmeldung aus der Ferne vertrauliche Konfigurationsdaten auslesen, mit den Rechten des BroadWorks-Benutzers.
„Ein Angreifer könnte diese Schwachstelle ausnutzen, indem er eine präparierte XML-Nachricht an den Dienst Open Client Interface – Provisioning (OCI-P) sendet.“
Sicherheitshinweis von Cisco
BroadWorks wird von Telekommunikationsanbietern für Cloud-Telefonie und Unified Communications genutzt.
Angriff mit autonomem KI-Werkzeug
Laut dem Sicherheitsunternehmen Malbear Labs nutzt ein chinesischsprachiger Akteur die Lücke in einer breit angelegten Kampagne. Dabei setzte er ein autonom arbeitendes KI-Werkzeug für Einbrüche ein und griff einen europäischen Telekommunikationsanbieter sowie dessen Kunden an. Welcher Anbieter betroffen ist, nannte Malbear Labs nicht. Cisco erwähnt in seinem Sicherheitshinweis bislang keine Ausnutzung.
Webmail-Anhänge als Einfallstor
Die Lücke im Openwave Webtop Media Transcoder (CVE-2026-111793) hat einen CVSS-Wert von 4,3. Die Komponente erzeugt Vorschauen und Umwandlungen von Anhängen in Webmail-Systemen. Sie setzt vom Administrator festgelegte Beschränkungen für Dateitypen nicht durch. Angemeldete Angreifer können über eine präparierte Datei vertrauliche Informationen abrufen. Openwave hatte die Lücke im Oktober mit Version 1.1.22.0 geschlossen. Das japanische Portal Japan Vulnerability Notes (JVN) meldete am 9. November, dass Openwave Angriffe beobachtet habe. Openwave-Produkte werden vor allem von Telekommunikations- und E-Mail-Anbietern eingesetzt.
Betreiber sollten beide Updates umgehend einspielen und prüfen, ob die Schnittstelle OCI-P von BroadWorks aus dem Internet erreichbar ist.
(red)
