思科修補Nexus 9000網路交換器重大漏洞

周四（5月2日）美國網路設備大廠思科發佈網路交換器產品Nexus 9000一項可導致駭客長驅直入的重大漏洞。

漏洞出現在Cisco Nexus 9000 Series網路交換器的應用中心基礎架構（application centric infrastructure，ACI）Mode軟體當中的SSH 金鑰管理元件。代號為CVE-2019-1804的漏洞，可導致遠端未授權的攻擊者，以系統管理員權限連上系統。

思科指出，本漏洞來自於SSH加密公、私鑰以預設狀態被誤放於裝置上，讓攻擊者得以透過IPv6開啟SSH連線連結目標裝置，並以系統管理員權限存取系統，可用於植入惡意程式、刪改資料或竊密。本漏洞被列為9.8的重大（Critical）風險漏洞。

不過思科表示攻擊行動僅能通過IPv6通訊協定，無法經由IPv4發生。

受影響產品為執行Cisco NX-OS Software軟體14.1（1i）版本以前的Nexus 9000系列。思科已經針對本漏洞發布修補程式，並表示本漏洞沒有權宜性的解決方案，呼籲用戶儘早更新。

本產品同時間還出現一個編號CVE-2019-1803的高（High）風險權限升級漏洞，也一併為思科修補。

此外，思科周三（5月1日）還修補了發生在Adaptive Security、Firepower Threat Defense Software、Web Security Appliance等產品的40多項高風險漏洞。