思科修复NSA报告的Nexus 交换机DoS漏洞及其它

 聚焦源代码安全，网罗国内外最新资讯！

编译：代码卫士

本周，思科宣布修复位于 FXOS 和 NX-OS 网络操作系统中的四个漏洞，其中一个拒绝服务漏洞由NSA报告。

最严重漏洞

在这四个漏洞中，最严重的是可被远程利用的命令注入漏洞CVE-2022-20650，CVSS评分为8.8。攻击者无需验证即可以root身份执行任意命令。该漏洞产生的原因在于用户提供的数据并未得到充分验证，从而导致攻击者向受影响设备上的 NX-API 特性发送构造的HTTP POST 请求，在操作系统上执行命令。思科指出，该 NX-API 特性默认禁用。Nexus 3000、5500、6000和9000系列交换机如运行未修复的 NX-OS 软件发布且启用了 NX-API特性，则受该漏洞影响。

余下的三个漏洞均可被用于引发拒绝服务条件。

NSA 报告的漏洞

NSA 报告的漏洞是CVE-2022-20624，影响 NX-OS 的 CFSoIP 特性。该高危漏洞产生的原因在于导入的 CFSoIP 数据包并未得到充分验证，因此可导致攻击者发送构造的数据包进行利用。该漏洞影响 Nexus 3000和9000交换机和 UCS6400 系列的互联系统，前提是启用了默认禁用的 CFSoIP。NSA 并非分享该漏洞的其它详情。

其它漏洞

另外一个DoS 漏洞的编号是CVE-2022-20623，位于 NX-OS 的BFD流量速率限定且可被远程利用，无需验证引发释放BFD流量。只有独立的NX-OS模式下的 Nexus 9000系列交换机受影响。该漏洞存在的原因是BFD速率限定中存在一个逻辑错误，可通过易受攻击设备发送构造的流量流遭利用，导致IPv4和 IPv6 被释放，导致DoS 条件。

思科还发布了 CVE-2021-1586的另外一个修复方案。2021年8月，该DoS 漏洞在ACI模式下Nexus 9000系列的Multi-Pod 或 Multi-Site网络配置中首次修复。该漏洞产生的原因在于清理不当的TCP流量被发送到某特定端口，从而导致攻击者发送构造数据。

思科建议客户应用在2022年2月发布的最新修复方案，并表示并未发现这些漏洞遭攻击的迹象。

---

推荐阅读

思科修复严重的企业 NFVIS 缺陷

思科称其安全设备易受 SNIcat 数据渗透攻击

VPN路由器存在 RCE 0day，思科不打算修复

NSA和CISA联合发布《5G云基础设施安全保护指南》

NSA和CISA 联合发布Kubernetes 安全加固指南

原文链接

https://www.securityweek.com/nsa-informs-cisco-vulnerability-exposing-nexus-switches-dos-attacks

题图：Pixabay License

本文由奇安信编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。

奇安信代码卫士 (codesafe)

国内首个专注于软件开发安全的产品线。

    觉得不错，就点个 “在看” 或 "赞” 吧~