Cisco Nexus 9000に存在する重大な脆弱性により、リモートの攻撃者が認証情報もユーザー操作も必要とせず、影響を受けるスイッチ上でroot権限のコードを実行できる可能性があることが分かりました。
Ciscoは9月2日にCVE-2026-20212を公表しました。CVSSスコアは9.8です。この脆弱性はSilicon One ASICを搭載した一部のNexus 9000スイッチに影響し、リモートコード実行とデバイスの停止の両方につながる恐れがあります。
CiscoのCVE-2026-20212に関するセキュリティアドバイザリによると、TCPポート43210と43211は、デフォルトのレイヤー3仮想ルーティング・アンド・フォワーディング(VRF)インスタンスを通じてアクセス可能です。いずれかのポートに到達できる未認証の攻撃者は、細工した入力を送信することで、root権限を持つコードとして実行させることができます。
実際の露出度合いはネットワーク構成に大きく左右されます。影響を受けるスイッチはインターネットに公開されていなくても、ポート43210や43211が侵害された、あるいは信頼度の低い内部ネットワークセグメントから到達可能であれば、リスクにさらされることになります。
CVE-2026-20212の仕組み
CVE-2026-20212はCWE-1327、すなわち「制限のないIPアドレスへのバインド」に分類されます。この脆弱性はネットワーク経由でアクセス可能で、攻撃の複雑さは低く、権限もユーザー操作も必要ありません。Ciscoは機密性・完全性・可用性への影響をいずれも「高」と評価しています。
この脆弱性を悪用するとS1HALプロセスがクラッシュし、影響を受けるスイッチが再起動する場合もあります。これにより、root権限でのコード実行に加えてサービス拒否(DoS)のリスクも生じます。
Ciscoが9月2日に公開したアドバイザリでは、Silicon One ASICを搭載した10種類のNexus 9000製品識別子が影響対象として挙げられています。管理者はshow moduleコマンドを実行してデバイスの製品IDを確認し、Ciscoの一覧と照合できます。Nexus 3000および7000スイッチ、その他のNexus 9000モデル、ACIモードのNexus 9000 Fabric Switchesは影響を受けません。
Ciscoのネットワークインフラを狙った攻撃も最近相次いでいます。9月の調査では、攻撃者が侵害したCiscoルーターを密かなネットワークゲートウェイに変える手口が明らかになったほか、8月にはCiscoが既に攻撃で悪用されていたファイアウォールの欠陥に対処する更新を公開しています。
9月3日時点で、Ciscoのアドバイザリによれば、同社の製品セキュリティインシデント対応チーム(PSIRT)はCVE-2026-20212に関する悪用や公表事例を把握していないとしています。
パッチ適用と緩和策の優先事項
Ciscoは修正版のNX-OSソフトウェアをリリース済みで、完全な修復のためアップグレードを推奨しています。すぐにパッチを適用できない組織向けに、Ciscoは必要な管理トラフィックおよび制御プレーントラフィックのみを影響を受けるデバイスに許可する、インフラストラクチャアクセス制御リスト(iACL)による回避策を検証済みです。管理者は代替策として、iACLを使って、ローカルに設定されたデバイスアドレス宛のポート43210および43211へのTCPトラフィックを拒否することもできます。
Ciscoはまた、ソフトウェア更新のスケジュールが組めるまでの一時的な緩和策として、Live Protectシールドをリリースしました。このシールドはパッチ適用の代替にはならず、Ciscoは完全な修復のために修正版ソフトウェアの適用を顧客に案内しています。
組織は以下の対策を講じるべきです。
- 影響を受けるNX-OSシステムのアップグレード: 脆弱なNexus 9000スイッチを修正版ソフトウェアに移行する
- 影響を受けるハードウェアの確認:
show moduleを実行し、製品IDをCiscoの影響対象モデル一覧と照合する - 脆弱なポートの制限: CiscoのiACL回避策を適用して必要なトラフィックのみに限定する、あるいは必要に応じてポート43210・43211をブロックする
- 必要に応じた一時的な保護策の利用: Live Protectは修正版ソフトウェアを導入するまでのつなぎとしてのみ展開する
- スイッチングインフラの監視: 原因不明の再起動、異常な管理トラフィック、対象ポートへの想定外の接続を調査する
- 参入障壁の低い攻撃経路の優先対応: 最近の未認証のRCE悪用事例は、認証情報もユーザー操作も必要としない脆弱性を攻撃者がいかに素早く悪用するかを示している
- インシデント対応計画のテスト: 影響を受けるスイッチの隔離、ログの保全、不審なトラフィックの調査、サービスの復旧、正常な設定への復元をチームが行えるか確認する
Ciscoは悪用を報告していませんが、リモートからの到達可能性、攻撃の複雑さの低さ、そしてroot権限でのコード実行が可能である点を踏まえると、迅速な修復対応が求められます。影響を受けるハードウェアを保有する組織は、修正版NX-OSリリースの適用を優先し、ポート43210および43211が信頼度の低いネットワークセグメントから到達可能な状態になっていなかったかを確認する必要があります。
関連記事: 最近のPaperCutの事前認証不要RCE攻撃も、パッチ適用前にシステムが露出していた場合、パッチ適用後であっても侵害の有無を確認する評価が必要になり得ることを示している
翻訳元: https://www.esecurityplanet.com/news/news-cisco-nexus-9000-vulnerability/
