Le fournisseur de réseaux et matériels de commutation Cisco révèle une vulnérabilité (CVE-2023-20185) de gravité CVSS 7,4 (élevée) dans une de ses familles de commutateurs pour datacenter : la série Nexus 9000.
Cette faille concerne les commutateurs fonctionnant en mode ACI (mise en réseau définie par logiciel, ou SDN), dans une configuration multisite, en version 14.0 ou ultérieure. En effet, la famille de produits Nexus 9000 peut fonctionner sur deux systèmes d’exploitation différents : NX-OS et ACI.
« La vulnérabilité n’affecte pas les commutateurs de la série Nexus 9000 en mode NX-OS autonome », précise l’avis de sécurité. « Cette vulnérabilité résulte d’un problème d’implémentation des algorithmes de chiffrement utilisés par la fonction de cryptage CloudSec sur les commutateurs concernés ».
« Cisco n’a pas encore publié de mises à jour logicielles pour remédier à la vulnérabilité et il n’existe pas non plus de solutions de contournement », met en garde le fournisseur. La seule solution actuellement disponible consiste à désactiver la fonctionnalité. « Les clients qui utilisent actuellement la fonction de chiffrage ACI Multi-Site CloudSec pour les commutateurs Nexus 9332C et Nexus 9364C et pour la Cisco Nexus N9K-X9736C-FX Line Card sont invités à la désactiver et à contacter le support technique de leur entreprise pour évaluer d’autres options ».