Cisco chiude una raffica di falle: RCE e bypass colpiscono NX-OS e APIC

🛡️ Executive Summary

• Cisco concentra il ciclo di sicurezza del 7 ottobre su NX-OS, Nexus, APIC, Smart Software Manager On-Prem, Meraki e Finesse.
• Le advisory includono remote code execution, command injection, bypass dei contratti ACI, accesso non autorizzato ai file e Python sandbox escape.
• Il rischio più rilevante riguarda il piano di gestione e controllo delle reti: Cisco raccomanda l’aggiornamento alle versioni corrette indicate nelle singole advisory.

Cisco apre ottobre con una tornata di sicurezza che insiste direttamente sulle componenti chiamate a governare switch, fabric e infrastrutture di rete. Il pacchetto pubblicato il 7 ottobre comprende vulnerabilità NX-OS, Nexus 3000 e 9000, Application Policy Infrastructure Controller, Smart Software Manager On-Prem e Finesse, affiancate da hardening release per NX-OS, APIC, Meraki e il sistema di licensing. Il tratto comune è più importante del numero delle advisory: diverse falle toccano API, protocolli OAM, sandbox Python e meccanismi di controllo ACI. Il problema non è quindi soltanto compromettere un servizio, ma raggiungere superfici che amministrano il comportamento della rete.

NX-OS concentra tre RCE tra API e protocolli OAM

Il pacchetto di sicurezza annunciato dal Cisco PSIRT coinvolge NX-OS sui sistemi MDS 9000, Nexus 3000, 7000 e 9000, Nexus 9000 in modalità ACI e UCS Fabric Interconnect. Tra le advisory specifiche pubblicate da Cisco emergono una vulnerabilità di remote code execution nell’NX-API, vulnerabilità RCE nel componente NGOAM dei Nexus 3000 e 9000 e un’ulteriore RCE relativa a MPLS OAM. Sono tre superfici differenti ma accomunate da un elemento: appartengono all’infrastruttura che espone funzioni di automazione, diagnostica o controllo del traffico. A queste si aggiunge una vulnerabilità di denial of service sul control plane NX-OS. Senza attribuire severità o condizioni di exploit che Cisco non ha ancora reso interrogabili nell’indice pubblico consultabile, la combinazione è già sufficiente a indicare un ciclo di patch prioritario per chi utilizza Nexus come backbone di data center o reti enterprise.

Leggi anche: CISA conferma attacchi globali ai router Cisco SD-WAN

APIC espone command injection e accesso non autorizzato ai file

Il secondo nucleo riguarda Cisco Application Policy Infrastructure Controller, componente centrale nelle architetture ACI. Cisco pubblica una advisory per una API command injection e una seconda per l’accesso non autorizzato a file, oltre a una hardening release dedicata ad APIC. Nella stessa tornata compare inoltre una vulnerabilità sui Nexus 9000 in ACI mode capace di determinare un Endpoint Group contract bypass. Quest’ultimo elemento è particolarmente sensibile perché i contratti ACI rappresentano il meccanismo con cui viene regolata la comunicazione tra gruppi di endpoint: un bypass, per definizione, interessa quindi l’applicazione della policy e non una semplice funzione periferica. La convergenza tra controller, API e enforcement delle policy mostra perché questa tornata debba essere letta come problema di control plane security: una falla nel livello che decide chi può comunicare con chi può avere un impatto architetturale superiore a quello di una vulnerabilità confinata a una singola applicazione.

La sandbox Python aggiunge il rischio di evasione dal perimetro previsto

NX-OS riceve inoltre una advisory per una Python sandbox escape. Cisco utilizza Python nelle funzioni di programmabilità della piattaforma e la presenza di una sandbox serve precisamente a delimitare ciò che il codice autorizzato può fare rispetto al sistema sottostante. Un’evasione modifica quel confine di fiducia. La sola denominazione della vulnerabilità non consente di stabilire quali privilegi iniziali siano necessari nella nuova advisory di ottobre, e sarebbe scorretto trasferire automaticamente condizioni tecniche da precedenti vulnerabilità Cisco Python. Il dato operativo resta però rilevante: automazione e programmabilità aumentano la superficie del dispositivo di rete, soprattutto quando API, interpreti e strumenti di orchestrazione convivono con funzioni che governano forwarding e policy. È uno dei motivi per cui il patch management degli switch moderni non può più essere trattato come manutenzione occasionale dell’hardware.

Smart Software Manager e Finesse ampliano il perimetro oltre i Nexus

La tornata non si ferma ai fabric. Cisco pubblica vulnerabilità specifiche per License On-Prem, precedentemente Smart Software Manager On-Prem, accompagnate da una hardening release dello stesso prodotto. Compare inoltre una vulnerabilità SSRF, Server-Side Request Forgery, in Cisco Finesse e una hardening release Meraki. Sono prodotti con funzioni molto diverse, ma condividono un problema operativo: spesso appartengono al piano amministrativo e vengono considerati meno esposti rispetto ai sistemi direttamente rivolti verso Internet. Una SSRF, una vulnerabilità di accesso o un difetto del sistema di management diventano invece particolarmente importanti quando consentono a un attaccante già presente nella rete di raggiungere servizi interni, API o risorse che non dovrebbero essere direttamente accessibili. Il perimetro da proteggere non coincide quindi con il solo router di frontiera.

Chi rischia di più con la tornata Cisco di ottobre

La priorità riguarda data center e organizzazioni che utilizzano Nexus 3000 e 9000, NX-OS, fabric ACI e APIC, soprattutto dove l’automazione rende le API parte integrante dell’operatività. Seguono gli ambienti che mantengono Smart Software Manager On-Prem e le installazioni Finesse. Per gli amministratori il primo passaggio non è inseguire indiscriminatamente tutte le vulnerabilità Cisco pubblicate nello stesso giorno, ma costruire rapidamente l’inventario delle piattaforme interessate, associare release e modalità operative e verificare l’esposizione delle superfici di management. Le RCE NX-API e OAM, la command injection APIC e il contract bypass ACI hanno infatti prerequisiti e impatti differenti: la priorità reale nasce dall’incrocio tra vulnerabilità, configurazione e raggiungibilità del componente.

Continua con:

Cisco, Recon e Citrix: nuove vulnerabilità sotto osservazione

Come mitigare: patch prima il piano che governa la rete

Continua con:

• Le falle del febbraio 2025 nei controller APIC e negli switch Nexus 3000 e 9000

Cisco aveva anticipato la pubblicazione del 7 ottobre raccomandando esplicitamente ai clienti di aggiornare al software corretto indicato nelle singole advisory. È il punto da cui partire. Dove l’aggiornamento non può essere immediato, la riduzione della superficie amministrativa diventa essenziale: API e servizi di management non necessari non dovrebbero essere esposti a reti non fidate, l’accesso ad APIC e ai sistemi di licensing deve restare segmentato e i flussi verso le interfacce amministrative meritano monitoraggio specifico. Per le organizzazioni che utilizzano automazione NX-OS è inoltre opportuno verificare account e privilegi associati alle funzioni programmabili. La tornata di ottobre non descrive una singola falla catastrofica, ma qualcosa di più scomodo per le reti complesse: una concentrazione di vulnerabilità proprio negli strumenti utilizzati per controllarle.