Eine kritische Schwachstelle in Cisco Nexus 9000 kann es Angreifern ermöglichen, aus der Ferne ohne Anmeldedaten oder Interaktion eines Benutzers Code mit Root-Rechten auf betroffenen Switches auszuführen.
Cisco hat CVE-2026-20212 am 2. September mit einem CVSS-Wert von 9,8 offengelegt. Die Schwachstelle betrifft bestimmte Nexus-9000-Switches mit Silicon-One-ASICs und kann sowohl zu Remote-Codeausführung als auch zu Ausfällen der Geräte führen.
Ciscos Sicherheitswarnung zu CVE-2026-20212 besagt, dass die TCP-Ports 43210 und 43211 über die standardmäßige virtuelle Routing-und-Forwarding-Instanz von Layer 3 erreichbar sind. Ein nicht authentifizierter Angreifer, der einen der beiden Ports erreichen kann, könnte speziell präparierte Eingaben senden, die als Code mit Root-Rechten ausgeführt werden.
Wie groß die tatsächliche Gefährdung ist, hängt stark von der Netzwerktopologie ab. Ein betroffener Switch muss nicht aus dem Internet erreichbar sein, um gefährdet zu sein, wenn die Ports 43210 oder 43211 von einem kompromittierten oder weniger vertrauenswürdigen internen Netzwerksegment aus erreichbar sind.
Funktionsweise von CVE-2026-20212
CVE-2026-20212 ist als CWE-1327 klassifiziert, also als Bindung an eine uneingeschränkte IP-Adresse. Die Schwachstelle ist über das Netzwerk erreichbar und weist eine geringe Komplexität auf; weder Berechtigungen noch Interaktion eines Benutzers sind erforderlich. Cisco bewertet die potenziellen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit als hoch.
Eine Ausnutzung kann außerdem zum Absturz des S1HAL-Prozesses und zum Neustart des betroffenen Switches führen, wodurch zusätzlich zur Codeausführung mit Root-Rechten ein Denial-of-Service-Risiko entsteht.
In Ciscos Warnung vom 2. September werden 10 betroffene Nexus-9000-Produktkennungen mit Silicon-One-ASICs aufgeführt. Administratoren können show module ausführen, um die Produkt-ID eines Geräts zu ermitteln und sie mit Ciscos Liste abzugleichen. Nexus-3000- und -7000-Switches, andere Nexus-9000-Modelle sowie Nexus-9000-Fabric-Switches im ACI-Modus sind nicht betroffen.
Auch in jüngster Zeit ist Cisco-Netzwerkinfrastruktur ins Visier von Angriffen geraten. Eine Untersuchung im September zeigte detailliert, wie Angreifer kompromittierte Cisco-Router in verdeckte Netzwerk-Gateways verwandelten, während ein Cisco-Update im August eine bereits bei Angriffen ausgenutzte Firewall-Schwachstelle behob.
Laut Ciscos Warnung vom 3. September liegen dem Product Security Incident Response Team keine Erkenntnisse über eine böswillige Ausnutzung oder öffentliche Bekanntmachungen im Zusammenhang mit CVE-2026-20212 vor.
Prioritäten bei Patching und Risikominderung
Cisco hat korrigierte NX-OS-Software veröffentlicht und empfiehlt ein Upgrade für eine vollständige Behebung. Für Unternehmen, die nicht sofort patchen können, hat Cisco eine Regel in der Infrastrukturzugriffskontrollliste als Workaround getestet, die nur den erforderlichen Management- und Control-Plane-Datenverkehr zu den betroffenen Geräten zulässt. Alternativ können Administratoren iACLs verwenden, um TCP-Datenverkehr zu lokal konfigurierten Geräteadressen auf den Ports 43210 und 43211 zu sperren.
Cisco hat außerdem einen Live-Protect-Schutz als vorübergehende Maßnahme veröffentlicht, bis Softwareupdates eingeplant werden können. Der Schutz ersetzt kein Patchen; Cisco verweist für eine vollständige Behebung auf eine korrigierte Softwareversion.
Unternehmen sollten folgende Schritte unternehmen:
- Betroffene NX-OS-Systeme aktualisieren: Verwundbare Nexus-9000-Switches auf eine korrigierte Softwareversion umstellen.
- Betroffene Hardware überprüfen: Ausführen
show moduleund die Produkt-IDs mit Ciscos Liste der betroffenen Modelle abgleichen. - Verwundbare Ports einschränken: Ciscos iACL-Workaround anwenden, um den erforderlichen Datenverkehr zu begrenzen oder die Ports 43210 und 43211 gegebenenfalls zu blockieren.
- Bei Bedarf vorübergehenden Schutz einsetzen: Live Protect nur als Übergangslösung einsetzen, bis die korrigierte Software installiert werden kann.
- Switching-Infrastruktur überwachen: Unerklärliche Neustarts, ungewöhnlichen Management-Datenverkehr und unerwartete Verbindungen zu den betroffenen Ports untersuchen.
- Angriffspfade mit niedrigen Hürden priorisieren: Die jüngste RCE-Ausnutzung ohne Authentifizierung zeigt, wie schnell Angreifer Schwachstellen ausnutzen können, die weder Anmeldedaten noch Interaktion eines Benutzers erfordern.
- Pläne für die Reaktion auf Sicherheitsvorfälle testen: Sicherstellen, dass Teams betroffene Switches isolieren, Protokolle sichern, verdächtigen Datenverkehr untersuchen, den Betrieb wiederherstellen und bekannte fehlerfreie Konfigurationen zurückspielen können.
Cisco hat keine Ausnutzung gemeldet, doch die Erreichbarkeit aus der Ferne, die geringe Angriffskomplexität und die Codeausführung mit Root-Rechten erfordern eine umgehende Behebung. Unternehmen mit betroffener Hardware sollten korrigierte NX-OS-Versionen priorisieren und feststellen, ob die Ports 43210 und 43211 von weniger vertrauenswürdigen Netzwerksegmenten aus erreichbar waren.
Mehr dazu: Die jüngsten PaperCut-Angriffe mit Pre-Authentication-RCE zeigen ebenfalls, warum Systeme, die vor der Behebung exponiert waren, auch nach der Installation von Patches auf eine mögliche Kompromittierung untersucht werden sollten.