Cisco a publié des mises à jour logicielles pour résoudre quatre vulnérabilités de sécurité dans son logiciel qui pourraient être militarisées par des acteurs malveillants pour prendre le contrôle des systèmes affectés.
Le plus critique des défauts est CVE-2022-20650 (score CVSS : 8,8), qui concerne un défaut d’injection de commande dans la fonctionnalité NX-API du logiciel Cisco NX-OS qui découle d’un manque de validation d’entrée suffisante des données fournies par l’utilisateur.
« Un attaquant pourrait exploiter cette vulnérabilité en envoyant une requête HTTP POST spécialement conçue à l’API NX d’un appareil affecté », a déclaré Cisco. « Un exploit réussi pourrait permettre à l’attaquant d’exécuter des commandes arbitraires avec des privilèges root sur le système d’exploitation sous-jacent. »
La faille affecte les commutateurs de la série Nexus 3000, les commutateurs de plate-forme Nexus 5500, les commutateurs de plate-forme Nexus 5600, les commutateurs de la série Nexus 6000 et les commutateurs de la série Nexus 9000 en mode NX-OS autonome exécutant le logiciel Cisco NX-OS sur lequel la fonctionnalité NX-API est activée.
Deux bogues de déni de service (DoS) de haute gravité dans NX-OS ont également été corrigés – CVE-2022-20624 et CVE-2022-20623 (Scores CVSS : 8,6) – trouvé dans Cisco Fabric Services Over IP (CFSoIP) et détection de transfert bidirectionnel (BFD) fonctions de trafic.
CVE-2022-20624, qui a été signalé à Cisco par la National Security Agency (NSA) des États-Unis, a un impact sur les commutateurs des séries Nexus 3000 et 9000 et les interconnexions de la série UCS 6400, en supposant que CFSoIP est activé. CVE-2022-20623, en revanche, n’affecte que les commutateurs de la série Nexus 9000 sur lesquels BFD est activé.
Enfin, l’équipementier réseau a également patché une troisième vulnérabilité DoS (CVE-2022-20625score CVSS : 4,3) dans le service Cisco Discovery Protocol du logiciel Cisco FXOS et du logiciel Cisco NX-OS, qui pourrait « permettre à un attaquant adjacent non authentifié de provoquer le redémarrage du service, entraînant une condition de déni de service (DoS). «
Cisco a déclaré qu’il n’était au courant « d’aucune annonce publique ni utilisation malveillante » des vulnérabilités susmentionnées. Cela dit, il est recommandé aux utilisateurs d’appliquer rapidement les mises à jour nécessaires pour empêcher une exploitation potentielle dans le monde réel.