Η Cisco εξέδωσε μια ειδοποίηση ασφαλείας, ενημερώνοντας τους πελάτες για μια κρίσιμη ευπάθεια στη λειτουργία Intermediate System-to-Intermediate System (IS-IS) του λογισμικού NX-OS για τα Cisco Nexus 3000 και 9000 Series switches. Η ευπάθεια, που παρακολουθείται ως CVE-2025-20241 (CVSS 7.4-10), θα μπορούσε να επιτρέψει σε έναν μη εξουσιοδοτημένο Layer 2-adjacent επιτιθέμενο, να στείλει ένα IS-IS packet, το οποίο επανεκκινεί τη διαδικασία IS-IS, επαναφορτώνοντας τη συσκευή και προκαλώντας μια κατάσταση denial-of-service (DoS).
Cisco Nexus 3000 και 9000: Κρίσιμο κενό ασφαλείας
Η ευπάθεια προκύπτει από ανεπαρκή επικύρωση εισόδου κατά την ανάλυση των εισερχόμενων πακέτων IS-IS. Ο επιτιθέμενος πρέπει να βρίσκεται στο ίδιο broadcast domain με το switch-στόχο και μπορεί να εκμεταλλευτεί την ευπάθεια μεταδίδοντας ένα ειδικά διαμορφωμένο πακέτο IS-IS L1 ή L2.
Δείτε επίσης: Νέα Ευπάθεια Zip Slip: Εκμετάλλευση Κατά την Αποσυμπίεση Αρχείων
Κατά την παραλαβή, το NX-OS IS-IS daemon μπορεί να κρασάρει και στη συνέχεια να επαναφορτώσει ολόκληρο το switch, διακόπτοντας το network routing και το traffic forwarding. Αυτή η κατάσταση επηρεάζει:
– Cisco Nexus 3000 Series Switches
– Cisco Nexus 9000 Series Switches σε standalone NX-OS mode
Μόνο οι συσκευές με ενεργοποιημένο το IS-IS σε τουλάχιστον ένα interface είναι ευάλωτες. Προϊόντα όπως τα Nexus 9000 σε ACI mode, Firepower 1000/2100/4100/9300, MDS 9000, και UCS Fabric Interconnects δεν είναι ευάλωτα.
Η ειδοποίηση της Cisco σημειώνει ότι αν το IS-IS authentication είναι διαμορφωμένο, ο επιτιθέμενος πρέπει να παρέχει έγκυρα κλειδιά για να εκμεταλλευτεί την ευπάθεια.
Για να επαληθεύσουν την κατάσταση του IS-IS, οι διαχειριστές μπορούν να εκτελέσουν την εντολή CLI:
Η παρουσία feature isis, router isis name, και τουλάχιστον μία εγγραφή ip router isis name επιβεβαιώνει την έκθεση. Για να δείτε live IS-IS peers, χρησιμοποιήστε:
Δυστυχώς, δεν υπάρχουν προσωρινές λύσεις για την ευπάθεια στα Cisco Nexus 3000 και 9000 Series switches. Ωστόσο, η ενεργοποίηση area authentication για το IS-IS μπορεί να μειώσει τον κίνδυνο, απαιτώντας από τους επιτιθέμενους να περάσουν από έλεγχο ταυτότητας πριν στείλουν κακόβουλα πακέτα.
Δείτε επίσης: 28,000+ Citrix instances ευάλωτα σε zero-day ευπάθεια
Η Cisco έχει κυκλοφορήσει δωρεάν ενημερώσεις λογισμικού για την αντιμετώπιση της ευπάθειας. Οι πελάτες με έγκυρα συμβόλαια υπηρεσιών θα πρέπει να κατεβάσουν και να εγκαταστήσουν τις διορθωμένες εκδόσεις από το portal Υποστήριξης και Λήψεων της Cisco.
Για όσους δεν έχουν συμβόλαια υπηρεσιών, η επικοινωνία με το Cisco TAC, με το URL της ειδοποίησης και τον σειριακό αριθμό του προϊόντος, θα επιτρέψει την πρόσβαση στις απαραίτητες διορθώσεις.
Cisco Nexus: Τι σημαίνει η ευπάθεια για την ασφάλεια των δικτύων
Η πρόσφατη ειδοποίηση της Cisco για την κρίσιμη ευπάθεια στα Nexus 3000 και 9000 δεν είναι απλώς ένα ακόμη security advisory – είναι μια υπενθύμιση ότι οι δικτυακές υποδομές, όσο προηγμένες κι αν είναι, παραμένουν ευάλωτες όταν η προστασία βασίζεται αποκλειστικά στην περιμετρική ασφάλεια.
🔒 Προστατέψτε την ιδιωτικότητά σας με Proton VPN
Ελβετικό VPN από τους δημιουργούς του Proton Mail — αυστηρή πολιτική no-logs, ισχυρή κρυπτογράφηση και ενσωματωμένο NetShield που μπλοκάρει διαφημίσεις, trackers & malware.
- ✔ No-logs, με έδρα την Ελβετία (εκτός 14-Eyes)
- ✔ NetShield: φραγή διαφημίσεων, trackers & κακόβουλων domains
- ✔ Καλύπτει όλες τις συσκευές — δωρεάν έκδοση διαθέσιμη
Ο σύνδεσμος είναι συνεργατικός (affiliate) — το SecNews ενδέχεται να λάβει προμήθεια χωρίς επιπλέον κόστος για εσάς. Δεν επηρεάζει την ανεξαρτησία της αρθρογραφίας μας.
Το συγκεκριμένο ζήτημα έχει ιδιαίτερη βαρύτητα, καθώς τα Nexus switches αποτελούν τον κορμό πολλών data centers παγκοσμίως. Μια διακοπή λειτουργίας σε τέτοιο επίπεδο δεν επηρεάζει μόνο την εσωτερική διασύνδεση, αλλά μπορεί να “παγώσει” κρίσιμες επιχειρησιακές διαδικασίες.
Αξίζει να σημειωθεί ότι η εκμετάλλευση της ευπάθειας απαιτεί φυσική εγγύτητα στο δίκτυο. Αυτό, από τη μία πλευρά, περιορίζει το εύρος της απειλής· από την άλλη όμως, καθιστά σαφές ότι σε περιβάλλοντα με shared infrastructure ή σε σενάρια insider threat, οι επιπτώσεις μπορεί να είναι καταστροφικές. Δεν είναι δύσκολο να φανταστεί κανείς έναν κακόβουλο εργαζόμενο, συνεργάτη ή ακόμη και έναν “φιλοξενούμενο” server rack σε colocation, που αποκτά πρόσβαση και προκαλεί στοχευμένο DoS.
Δείτε επίσης: Passkeys: Η SquareX αποκαλύπτει σημαντική ευπάθεια
Η Cisco, όπως συνηθίζει, έσπευσε να διαθέσει patches, όμως η ευρύτερη εικόνα δείχνει κάτι πιο ανησυχητικό: τα πρωτόκολλα δρομολόγησης που σχεδιάστηκαν δεκαετίες πριν –όπως το IS-IS– δεν δημιουργήθηκαν με σημερινά threat models κατά νου. Η έλλειψη ισχυρής εγγενούς ασφάλειας τα καθιστά συνεχώς εκτεθειμένα σε νέες μεθόδους εκμετάλλευσης.
Για τους οργανισμούς, η πρόκληση δεν είναι μόνο να “τρέξουν” το update, αλλά να αναθεωρήσουν συνολικά τη στρατηγική τους γύρω από τον έλεγχο πρόσβασης στα Layer 2 domains, την τμηματοποίηση του δικτύου και τη χρήση authentication σε όλα τα routing protocols. Η συζήτηση που ανοίγει η ευπάθεια αυτή είναι στρατηγική: πώς διασφαλίζουμε ότι η ίδια η δικτυακή μας ραχοκοκαλιά δεν θα γίνει το σημείο κατάρρευσης;
