Uma falha crítica de segurança foi descoberta no recurso de criptografia Multi-Site CloudSec do Cisco Application Centric Infrastructure (ACI), a qual pode permitir que hackers leiam ou alterem o tráfego criptografado entre sites. A vulnerabilidade, identificada como CVE-2023-20185, afeta os switches Cisco Nexus 9000 Series que executam as versões 14.0 e posteriores, especificamente quando fazem parte de uma topologia multissite e têm o recurso de criptografia CloudSec ativado.
Ao divulgar a vulnerabilidade na quarta-feira, 5, a Cisco disse que ela é atribuída a um problema de implementação com as cifras usadas pelo recurso de criptografia CloudSec nos switches afetados. Embora a criptografia CloudSec seja projetada para proteger dados transmitidos entre sites, a Cisco disse que, ao explorar a vulnerabilidade, um invasor com uma posição entre sites ACI pode interceptar e comprometer o tráfego criptografado. “Uma exploração bem-sucedida pode permitir que o invasor leia ou modifique o tráfego transmitido entre os sites”, disse a empresa.
No momento, a Cisco não lançou nenhuma atualização de software para lidar com essa vulnerabilidade e nenhuma solução alternativa está disponível. “Os clientes que estão usando atualmente o recurso de criptografia Cisco ACI Multi-Site CloudSec para os switches Cisco Nexus 9332C e Nexus 9364C e o Cisco Nexus N9K-X9736C-FX Line Card são aconselhados a desativá-lo e entrar em contato com sua área de suporte para avaliar opções alternativas”, disse a Cisco.
Veja isso
Cisco alerta sobre falhas em roteadores em fim de vida útil
Cisco alerta sobre bugs RCE em switches Small Business Series
Segundo a empresa, ao desativar o recurso, as organizações podem minimizar o risco de acesso não autorizado e possível manipulação de dados. Notavelmente, os switches Cisco Nexus 9000 Series no modo NX-OS autônomo não são vulneráveis a essa falha de segurança.
Atualmente, não há anúncios públicos conhecidos ou instâncias de exploração maliciosa dessa vulnerabilidade. A equipe de resposta a incidentes de segurança de produtos da Cisco (PSIRT) descobriu a falha durante o teste de segurança interna.
O comunicado da Cisco surge semanas depois que um homem da Flórida se declarou culpado de ganhar mais de US$ 100 milhões com a importação e venda de dispositivos de rede Cisco falsificados.
