В коммутаторах Cisco Nexus 9000 нашли уязвимость для удалённого выполнения кода с правами root

Cisco выпустила обновления для критической уязвимости CVE-2026-20212 в десяти моделях коммутаторов Nexus 9000 на базе Silicon One. По данным The Hacker News, уязвимость получила оценку 9,8 из 10 по шкале CVSS: она позволяет удалённо выполнить код с правами root без предварительной аутентификации.

Проблема связана с тем, что сервис на коммутаторе привязан к неограниченному IP-адресу. В результате в стандартном экземпляре VRF уровня 3 доступны TCP-порты 43210 и 43211. Атакующему достаточно иметь возможность подключиться к адресу коммутатора на одном из этих портов; специально сформированный ввод может быть выполнен сервисом как код с максимальными привилегиями. Попытка эксплуатации также способна аварийно завершить процесс S1HAL и перезагрузить устройство.

На момент раскрытия информации 2 сентября Cisco не располагала сведениями о злоупотреблении этой уязвимостью. Компания не опубликовала таблицу исправленных версий NX-OS и предлагает клиентам определить подходящее обновление через Software Checker.

В качестве временных мер Cisco рекомендует ограничить доступ к портам 43210 и 43211 с помощью инфраструктурных ACL: разрешать только необходимый управляющий трафик либо явно блокировать TCP-пакеты к локально настроенному IP-адресу на этих портах. Для части устройств также доступен временный защитный пакет Live Protect lp00031: он поддерживается в NX-OS 10.6(3), а для двух моделей Smart Switch предусмотрен отдельный пакет для версии 10.6(3s). На Nexus 9804 и 9808 эта мера не поддерживается.

Среди затронутых устройств — Nexus Smart Switch N9324C-SE1U и N9348Y2C6D-SE1U, а также модели N9364E-SG2-O, N9364E-SG2-Q, N9396T12C-SE1, N9348Y12C-SE1, N9396Y12C-SE1, N9336C-SE1, N9K-C9804 и N9K-C9808. Другие модели линейки Nexus 9000, фабричные коммутаторы Nexus 9000 в режиме ACI, а также серии Nexus 3000 и 7000, согласно информации Cisco, этой проблеме не подвержены.