Alerta de Vulnerabilidade - Cisco Nexus 9000 Series Switches

Vulnerabilidade de Vinculação a um Endereço IP Não Restrito (CWE-1327) na integração Silicon One dos Cisco Nexus 9000 Series Switches, com o identificador CVE-2026-20212/EUVD-2026-70201 [1][2][3]. Os portos TCP 43210 e 43211 estão acessíveis na instância VRF (Virtual Routing and Forwarding) de Layer 3 predefinida, permitindo a um atacante ligar-se diretamente ao serviço vulnerável [1].

São afetados os Cisco Nexus 9000 Series Switches que incluam um ASIC Silicon One, nas seguintes configurações [1][3]:

• Product identifiers (PID) afetados: N9324C-SE1U, N9348Y2C6D-SE1U, N9364E-SG2-O, N9364E-SG2-Q, N9396T12C-SE1, N9348Y12C-SE1, N9396Y12C-SE1, N9336C-SE1, N9K-C9804 e N9K-C9808
• Releases do NX-OS afetadas: 45 releases, desde a 10.3(1) até à 10.6(3s)

Não são afetados os restantes modelos Nexus 9000, os Nexus 9000 Series Fabric Switches em modo ACI, os Nexus 3000 e Nexus 7000 Series Switches, os MDS 9000 Series Multilayer Switches, os Firepower e Secure Firewall, e os UCS Fabric Interconnects [1].

A exploração é remota e não requer autenticação, privilégios nem interação do utilizador, exigindo apenas acesso de rede aos portos TCP 43210 ou 43211. O atacante liga-se ao serviço exposto e envia input especialmente construído, que é executado como código com privilégios de root. A exploração pode também provocar a falha do processo S1HAL, com o consequente reinício do equipamento e interrupção do tráfego [1].

A exposição efetiva depende da topologia de rede: um equipamento não acessível a partir da Internet continua em risco se os portos afetados estiverem alcançáveis a partir de um segmento interno comprometido ou menos confiável [1].

Recomenda-se a atualização para uma release corrigida do NX-OS, identificada através do Cisco Software Checker [1].

Medidas adicionais recomendadas:

• Como workaround, aplicar infrastructure access control lists (iACL) que permitam apenas o tráfego de gestão e de control plane necessário ao equipamento, ou que neguem explicitamente todos os pacotes TCP destinados a um endereço IP local configurado com porto de destino 43210 ou 43211 [1];
• Como mitigação temporária até à atualização, aplicar o Live Protect shield disponibilizado pela Cisco para esta vulnerabilidade [1];
• Inventariar os equipamentos afetados com o comando show module, que devolve o PID, e verificar o alcance dos portos TCP 43210 e 43211 a partir dos segmentos de rede menos confiáveis [1];
• Utilizar a regra Snort 67005 para deteção de tentativas de exploração [1].

[1] - https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-n9k-s1-rce-EH8dEtr
[2] - https://nvd.nist.gov/vuln/detail/CVE-2026-20212
[3] - https://euvd.enisa.europa.eu/vulnerability/CVE-2026-20212