Cisco hat gewarnt, dass die Secure Endpoint Connector-Produkte auf Windows, macOS und Linux von mehreren Schwachstellen betroffen sind. Im Fokus stehen ClamAV-Lücken, die je nach Plattform zu Denial-of-Service (DoS) führen können. Besonders relevant: Für zwei der betroffenen Probleme existiert mittlerweile public proof-of-concept (PoC).
ClamAV (Clam AntiVirus) ist eine quelloffene, plattformübergreifende Malware-Detection-Engine. Sie nutzt unter anderem einen mehrthreadigen Scanner, unterstützt E-Mail-Filterung und aktualisiert Datenbanken automatisch. Die Cisco-Mitteilung bezieht sich auf Fehler in ClamAV-Parsern für verschiedene Dateiformate.
Welche ClamAV-Lücken sind betroffen?
Laut Cisco handelt es sich um sieben Schwachstellen in ClamAV, die als CVE-2026-20337 bis CVE-2026-20339 sowie CVE-2026-20345 bis CVE-2026-20348 dokumentiert sind.
Die Fehler wurden in Parsern gefunden, die die Analyse bestimmter Dateitypen übernehmen. Dazu gehören unter anderem ZIP, GPT, PESpin, PDF, Mach-O und XAR.
Mit anderen Worten: Wenn eine betroffene Komponente in einem Scan-Prozess entsprechende Inhalte verarbeitet, können die Defekte die Stabilität des Scanners beeinträchtigen und so einen DoS herbeiführen.
Public PoC-Code erhöht den Handlungsdruck
Cisco verweist darauf, dass nach dem Rollout der Fixes durch ClamAV PoC-Code verfügbar wurde, der sich gezielt gegen zwei spezifische Schwachstellen richtet: CVE-2026-20337 und CVE-2026-20338. Für diese beiden Fälle existiert demnach ein öffentlicher Nachweis.
Auch wenn die öffentliche Verfügbarkeit von PoC-Code nicht gleichbedeutend ist mit aktiver Ausnutzung in der Praxis, steigt damit in der Regel der Druck auf Unternehmen, Updates zügig einzuplanen und die betroffenen Systeme zu härten.
Warum ist das Risiko auf Windows höher?
Die Cisco-Einschätzung fällt je nach Betriebssystem unterschiedlich aus. Für Windows stuft das Unternehmen die Gefahr als hoch ein. Der Grund: Auf Windows läuft der ClamAV-Scanprozess in einem privilegierten Sicherheitskontext.
Auf macOS und Linux wird das Risiko dagegen als medium bewertet. Hier arbeitet der ClamAV-Scanner in der Regel mit niedrigeren Privilegien, wodurch die Auswirkungen im Vergleich begrenzt sein können.
In beiden Fällen bleibt jedoch das zentrale Problem bestehen: Die ClamAV-Lücken können zu Denial-of-Service führen, also dazu, dass Scan- oder Sicherheitsprozesse anhalten oder nicht mehr zuverlässig arbeiten.
Patch-Stand: ClamAV 1.5.4 und zusätzliche Betroffenheit
Cisco nennt als Grundlage für die Behebung der Fehler ClamAV Version 1.5.4. In dieser Version seien die Fixes für die genannten Schwachstellen enthalten.
Darüber hinaus enthält ClamAV 1.5.4 auch einen Patch für eine Path-Traversal-Schwachstelle in WinRAR auf Windows. Diese Schwachstelle kann laut Cisco zu Remote Code Execution führen. Das bedeutet: Selbst wenn ein Unternehmen nicht ausschließlich ClamAV betrachtet, lohnt sich ein Blick auf den Update-Umfang der eingesetzten Komponenten.
Gibt es Workarounds? Cisco sagt: keine
Besonders wichtig für die Einsatzplanung: Cisco erklärt, dass es keinen Workaround für die beschriebenen Schwachstellen gibt. Damit bleibt im Kern nur die Aktualisierung der betroffenen Softwarekomponenten als sinnvolle Maßnahme.
Die Sicherheitsupdates sollen laut Cisco im August für alle Secure Endpoint Connector-Produkte ausgerollt werden.
Welche Cisco-Komponenten sind betroffen – und welche nicht?
Die Meldung unterscheidet zwischen Produkten, die im jeweiligen Setup verwendet werden.
- Secure Endpoint Private Cloud: ist nicht betroffen.
- Secure Endpoint Connector: ist betroffen und benötigt daher die entsprechenden Updates.
Ergänzend rät Cisco Kunden dazu, verfügbare Patches nicht nur auf dem Server vorzubereiten, sondern auch gezielt an die Endpunkte zu pushen. Die Fixes sollen in Veröffentlichungen von Secure Endpoint Private Cloud ab Version 4.2.8 und später enthalten sein.
Schon jemand am Werk? Cisco kennt keine Ausnutzung in freier Wildbahn
Zum aktuellen Stand sagt Cisco, dass dem Unternehmen keine aktive Ausnutzung der beschriebenen Schwachstellen in der Wildnis bekannt ist.
Das ist eine beruhigende Information, ändert aber nichts an der Empfehlung, die Updates wie angekündigt einzuplanen. DoS-Szenarien können dennoch spürbare Auswirkungen auf Produktivität und Sicherheitsteams haben, selbst wenn noch keine großflächigen Kampagnen beobachtet wurden.
Was sollten IT-Teams jetzt konkret prüfen?
Wenn in der Organisation Secure Endpoint Connector eingesetzt wird, empfiehlt sich eine schnelle Bestandsaufnahme. Achten Sie dabei besonders auf folgende Punkte:
- Betriebssysteme: Windows-Geräte mit höherer Privilegierung sind laut Cisco besonders kritisch.
- Versionen: Prüfen Sie, ob die Connector-Komponenten bereits auf einem Stand sind, der die notwendigen Fixes abdeckt.
- Patch-Fahrplan: Planen Sie die Updates für August ein und koordinieren Sie die Ausrollung mit Ihren Change-Prozessen.
- Update-Weitergabe: Stellen Sie sicher, dass Patches aus Secure Endpoint Private Cloud auf die Endpunkte übertragen werden (ab 4.2.8 und später).
So reduzieren Sie das Risiko, dass betroffene Dateiformate in einem Scanprozess zu einem DoS führen und Ihre Sicherheitslage beeinträchtigen.
Fazit
ClamAV-Lücken in der Scan-Komponente von Cisco können Denial-of-Service auslösen. Die Schwachstellen betreffen mehrere Dateiformat-Parser und werden als CVEs von 2026-20337 bis 2026-20339 sowie 2026-20345 bis 2026-20348 geführt. Zwei der Probleme haben laut Cisco public PoC, und für alle genannten Schwachstellen gibt es keinen Workaround.
Da Cisco die Auswirkung auf Windows als hoch und auf macOS/Linux als mittel einstuft, sollten IT-Teams die angekündigten Updates für den August zeitnah vorbereiten und die Patch-Weitergabe an Endpunkte sicherstellen. Damit schließen Sie die Lücken, bevor ein potenzieller Angriff über Dateiformate Ihre Scan- und Sicherheitsprozesse stört.
Quelle: https://www.securityweek.com/cisco-warns-of-high-severity-clamav-vulnerabilities-with-public-poc/
