Cisco Nexus 9000 の API エンドポイントを介した脆弱性が FIX

Cisco fixed a critical flaw in Cisco APIC for Nexus 9000 series switches

2021/08/26 SecurityAffairs — Cisco は、Nexus 9000 シリーズ・スイッチで使用されている、Application Policy Infrastructure Controller (APIC) インターフェイスに存在する、深刻な脆弱性 CVE-2021-1577 に対処するためのセキュリティ・アップデートを公開した。この脆弱性が悪用されると、脆弱なシステム上における任意のファイルを読み書きを許してしまう。この脆弱性は、不適切なアクセス制御によるもので、認証されていないリモートの攻撃者が悪用することで、アプライアンスへのファイルのアップロードが可能になる。

Cisco のアドバイザリには、「Cisco Application Policy Infrastructure Controller (APIC) および Cisco Cloud Application Policy Infrastructure Controller (Cloud APIC) の API エンドポイントには脆弱性が存在し、認証されていないリモート攻撃者による、脆弱なシステム上での任意のファイルの読み書きが可能性になる。この脆弱性は、不適切なアクセス制御によるものだ。攻撃者は、特定の API エンドポイントを使用して、標的となるデバイスにファイルをアップロードすることで、この脆弱性を悪用できる。

悪用に成功すると、攻撃者は影響を受けるデバイス上で、任意のファイルを読み書きできるようになる」と記載されている。Cisco Application Policy Infrastructure Controller (APIC) は、Cisco Application Centric Infrastructure (ACI) ファブリックのポリシーと管理を行うための、シングル・ポイントコントローラーである。この脆弱性は、Cisco Application Policy Infrastructure Controller および Cisco Cloud APIC に影響する。同社は、この問題に対処するための回避策は存在しないとしている。

この CVE-2021-1577 は、キュレーション・チームが8月26日付で拾っていました。ちなみに CVSS スコアは 9.1 です。このところ、API の脆弱性に関する記事が多いですが、この Cisco Nexus 9000 の問題も API 絡みです。Cisco 関連の記事として、「Cisco ISA/FTD/WSA をバイパスするデータ侵害が発見された」、「Cisco FDM の欠陥によりマネージド・サービス・プロバイダーが危険に?」、「Cisco VPN ルーターの深刻な pre-auth RCE 脆弱性が FIX」なども、ご参照ください。

%d bloggers like this: