思科修复NSA报告的Nexus 交换机DoS漏洞及其它

 聚焦源代码安全，网罗国内外最新资讯！

编译：代码卫士

在这四个漏洞中，最严重的是可被远程利用的命令注入漏洞CVE-2022-20650，CVSS评分为8.8。攻击者无需验证即可以root身份执行任意命令。该漏洞产生的原因在于用户提供的数据并未得到充分验证，从而导致攻击者向受影响设备上的 NX-API 特性发送构造的HTTP POST 请求，在操作系统上执行命令。思科指出，该 NX-API 特性默认禁用。Nexus 3000、5500、6000和9000系列交换机如运行未修复的 NX-OS 软件发布且启用了 NX-API特性，则受该漏洞影响。

余下的三个漏洞均可被用于引发拒绝服务条件。

NSA 报告的漏洞是CVE-2022-20624，影响 NX-OS 的 CFSoIP 特性。该高危漏洞产生的原因在于导入的 CFSoIP 数据包并未得到充分验证，因此可导致攻击者发送构造的数据包进行利用。该漏洞影响 Nexus 3000和9000交换机和 UCS6400 系列的互联系统，前提是启用了默认禁用的 CFSoIP。NSA 并非分享该漏洞的其它详情。

另外一个DoS 漏洞的编号是CVE-2022-20623，位于 NX-OS 的BFD流量速率限定且可被远程利用，无需验证引发释放BFD流量。只有独立的NX-OS模式下的 Nexus 9000系列交换机受影响。该漏洞存在的原因是BFD速率限定中存在一个逻辑错误，可通过易受攻击设备发送构造的流量流遭利用，导致IPv4和 IPv6 被释放，导致DoS 条件。

思科还发布了 CVE-2021-1586的另外一个修复方案。2021年8月，该DoS 漏洞在ACI模式下Nexus 9000系列的Multi-Pod 或 Multi-Site网络配置中首次修复。该漏洞产生的原因在于清理不当的TCP流量被发送到某特定端口，从而导致攻击者发送构造数据。

思科建议客户应用在2022年2月发布的最新修复方案，并表示并未发现这些漏洞遭攻击的迹象。