近期，思科解決了Cisco Nexus Dashboard數(shù)據(jù)中心管理解決方案中的嚴(yán)重漏洞，這些漏洞可讓遠(yuǎn)程攻擊者以root或管理員權(quán)限執(zhí)行命令和操作。

第一個安全漏洞（被評為嚴(yán)重嚴(yán)重性漏洞，編號為 CVE-2022-20857）使未經(jīng)身份驗證的威脅參與者能夠通過發(fā)送HTTP 請求來訪問API，并以root 權(quán)限遠(yuǎn)程執(zhí)行任意命令。

第二個漏洞（Web UI 中的一個高嚴(yán)重性漏洞，編號為 CVE-2022-20861）允許遠(yuǎn)程攻擊者通過欺騙經(jīng)過身份驗證的管理員單擊惡意鏈接來進行跨站點請求偽造攻擊。

對此，思科也作出了解釋，利用該漏洞可能允許攻擊者在受影響的設(shè)備上以管理員權(quán)限執(zhí)行操作。而近期修補的另一個高嚴(yán)重性安全漏洞 (CVE-2022-20858) 可以讓未經(jīng)身份驗證的遠(yuǎn)程攻擊者通過打開與容器鏡像管理服務(wù)的TCP連接來下載容器鏡像或?qū)阂忡R像上傳到受影響的設(shè)備。幸運的是，正如思科在發(fā)布的安全公告中解釋的那樣，惡意圖像將在設(shè)備重啟或Pod重啟后運行。不過這些漏洞影響Cisco Nexus Dashboard 1.1及更高版本。思科已解決近期發(fā)布的2.2(1e)安全更新中的漏洞，并建議客戶盡快遷移到固定版本。

這些安全漏洞是由思科高級安全計劃小組 (ASIG) 的安全研究人員在內(nèi)部安全測試期間發(fā)現(xiàn)的。思科的產(chǎn)品安全事件響應(yīng)團隊 (PSIRT) 表示，目前暫不知道公開可用的漏洞利用或在野外的積極利用。同時思科還修補了Cisco Nexus 儀表板的SSL/TLS實施中的第四個漏洞 (CVE-2022-20860)，該漏洞可能讓未經(jīng)身份驗證的遠(yuǎn)程威脅參與者通過攔截中間人攻擊中的流量來改變通信，利用該漏洞還可能允許攻擊者查看敏感信息，包括受影響控制器的管理員憑據(jù)。思科表示之所以存在此漏洞，是因為當(dāng) Cisco Nexus Dashboard 與 Cisco 應(yīng)用策略基礎(chǔ)設(shè)施控制器 (APIC)、Cisco Cloud APIC 或 Cisco Nexus Dashboard Fabric Controller（以前的數(shù)據(jù)中心網(wǎng)絡(luò)管理器 (DCNM) 控制器）建立連接時，未驗證 SSL 服務(wù)器證書。