Критическая уязвимость Cisco Nexus 9000 даёт удалённое выполнение кода с правами root

Компания Cisco устранила критическую уязвимость CVE-2026-20212 (CVSS 9.8), затрагивающую десять коммутаторов Nexus 9000, построенных на базе Silicon One. Проблема связана с привязкой службы к неограниченному IP-адресу: в результате TCP-порты 43210 и 43211 остаются доступны в дефолтном экземпляре VRF на уровне L3.

Любой, кто может достучаться до адреса коммутатора по одному из этих портов, подключается к службе напрямую. Специально сформированные данные затем исполняются как код с правами root. Кроме того, попытка эксплуатации способна обрушить процесс S1HAL и перезагрузить устройство. На момент раскрытия 2 сентября Cisco не располагала сведениями о вредоносном использовании бреши.

Кого это касается

В бюллетене перечислены конкретные модели — среди них Nexus Smart Switch (N9324C-SE1U, N9348Y2C6D-SE1U), серии N9364E-SG2, а также N9K-C9804 и N9K-C9808. Прочие модели Nexus 9000, коммутаторы в режиме ACI и линейки Nexus 3000 и 7000 не затронуты. Уязвимыми числятся 45 релизов NX-OS — от 10.3(1) до 10.6(3s), — но точный перечень Cisco предлагает сверять через свой Software Checker.

Единой таблицы исправленных версий компания не опубликовала. В качестве временных мер предлагаются инфраструктурный ACL, блокирующий два порта, и «щит» Live Protect (lp00031) — правда, он поддерживается лишь на отдельных версиях и требует доступа по SSH, Telnet или NX-API, а на 9804 и 9808 недоступен.

Укрепляющий релиз IOS XR

Параллельно вышел «укрепляющий» релиз для IOS XR, объединивший семь так называемых зонтичных CVE. Каждая из них покрывает отдельную категорию дефектов и получает оценку по самому серьёзному из них. Две уязвимости — CVE-2026-20274 (проблемы безопасности памяти) и CVE-2026-20279 (ошибки контроля доступа, включая отсутствующую аутентификацию критических функций) — достигают потолка 9.8. Остальные пять оценены в диапазоне от 8.2 до 8.8.

Особенность в том, что уязвимости затрагивают все версии IOS XR независимо от конфигурации устройства, и обходного решения нет ни для одной из них. Из 111 затронутых релизов патчи (SMU) доступны сегодня лишь для четырнадцати; ещё четыре ожидают исправлений, а 93 сначала требуют обновления. Первыми полностью исправленными релизами без необходимости накатывать SMU станут будущие 26.2.2 и 26.3.1.

Это уже третий плановый «укрепляющий» выпуск за 30 дней в рамках новой модели раскрытия, о которой вице-президент Cisco по ИБ Расс Смоук ещё в июне писал: окно между раскрытием и эксплуатацией «фактически закрылось».

Тревожный контекст

Публикация вышла спустя шесть дней после отчёта компании Sygnia о китайской группировке Fire Ant, которая запускала специально созданные импланты на маршрутизаторах IOS XR: они подавляли отправку syslog, фильтровали вывод команд show и поддерживали скрытый GRE-туннель. Злоумышленники перехватывали трафик и выгружали его на внешние FTP-серверы. Расследование началось с обнаружения активного туннельного интерфейса на устройстве, конфигурация которого никак его не объясняла, — что, по словам Sygnia, означало: реальному состоянию устройства больше нельзя доверять. Как именно был получен первоначальный доступ, установить не удалось.

Источник: The Hacker News