Un 9,8 su 10 sugli switch dei data center
Quanto vi fidate dello switch che sta in fondo al rack? La domanda e meno retorica di quanto sembri. Il 2 settembre Cisco ha pubblicato un avviso per CVE-2026-20212, una vulnerabilita con punteggio 9,8 su 10 che riguarda gli switch Nexus 9000 basati sui chip Silicon One: gli apparati che smistano il traffico dentro i data center e, sempre piu spesso, le reti dedicate all'intelligenza artificiale.
All'origine ci sono due porte TCP, la 43210 e la 43211, che restano in ascolto e risultano raggiungibili gia con la configurazione di rete predefinita dell'apparato. In pratica il servizio si lega a qualunque indirizzo IP invece di limitarsi a quelli strettamente necessari. Chi riesce a contattare quelle porte puo inviare dati costruiti ad arte e farli eseguire come codice con privilegi di root, cioe con il controllo completo dello switch. Non servono credenziali e non serve alcuna azione da parte di un operatore. Nel caso meno grave lo stesso input manda in crash il processo S1HAL e provoca il riavvio dell'apparato: un disservizio secco.
Chi e colpito e cosa fare
La lista comprende circa dieci modelli Nexus 9000 con ASIC Silicon One e 45 release del sistema operativo NX-OS, dalla 10.3(1) fino alla 10.6(3s). Restano fuori gli Nexus 9000 configurati in modalita ACI e le famiglie Nexus 3000 e 7000. La falla e stata trovata da Cisco mentre lavorava a un caso di assistenza tecnica, e alla data dell'avviso non risultano sfruttamenti in corso. E una buona notizia, ma vale finche dura: quando il bollettino diventa pubblico, il tempo per muoversi si accorcia.
La soluzione definitiva e aggiornare a NX-OS 10.6(4) o versioni successive, verificando il proprio caso con il Software Checker di Cisco. Chi non puo farlo subito ha due ripieghi: configurare sull'infrastruttura una ACL (una iACL) che blocchi il traffico TCP verso le porte 43210 e 43211 sugli indirizzi dello switch, oppure applicare lo scudo temporaneo Live Protect lp00031, disponibile pero solo per le release 10.6(3) e 10.6(3s). Sono misure per comprare tempo, non per chiudere la partita.
💬 Il mio commento
C'e una frase, in questi avvisi, che di solito scorre via senza far rumore: "raggiungibile tramite la configurazione di rete predefinita". Tradotto: la porta di gestione dell'apparato e esposta piu di quanto chi lo ha installato immagini. Secondo me il punto dolente e li, piu che nel singolo bug. Negli assessment mi capita spesso di trovare switch e router di dorsale con il piano di gestione appiattito sulla rete di produzione, senza una ACL che filtri chi puo parlarci. E quando chiedo a che release di firmware sono, la risposta a volte e un silenzio imbarazzato: quegli apparati non si toccano da anni, nessuno vuole rischiare un fermo.
Il timore e legittimo, va detto. Aggiornare uno switch di core non e come aggiornare un portatile: serve una finestra di manutenzione, serve la ridondanza che regge il traffico mentre riavvii, serve provare la procedura prima. Capisco perche si rimandi. Ma e proprio per questo che gli avvisi fatti bene, come questo, arrivano con un ripiego pronto: la iACL che chiude quelle due porte si applica in pochi minuti e non richiede riavvio. Il dubbio che mi resta e sempre lo stesso, e non e tecnico: quante aziende hanno un inventario aggiornato del firmware dei propri apparati di rete e sanno dire, oggi, quali sono vulnerabili? Se hai dei Nexus 9000 in sala macchine e non hai una risposta certa sulla release NX-OS e su chi puo raggiungere le loro porte di gestione, posso aiutarti a fare il punto e a pianificare l'aggiornamento senza fermare la produzione.