Cisco veröffentlicht Schwachstelle 9.8 im Nexus 9000: TCP 43210 standardmäßig geöffnet in VRF führt zu RCE als root

Cisco veröffentlichte am 2. September das Advisory cisco-sa-n9k-s1-rce-EH8dEtr, katalogisiert als CVE-2026-20212, das eine Schwachstelle zur Ausführung von Remote-Code als root in der Silicon-One-Integration der Nexus-9000-Switches beschreibt. Der CVSS 3.1 Score liegt bei 9.8, was nahe am Maximum ist, und der Angriffspfad ist der schwerwiegendste für Fabric-Geräte: ein unauthentifizierter Angreifer kann Payloads TCP gegen das Gerät senden und erhält privilegierten Shell-Zugriff.

Der technische Trigger ist einfach und daher besorgniserregend. Die TCP-Ports 43210 und 43211, die vom Managementprozess S1HAL von Silicon One verwendet werden, sind standardmäßig im Haupt-L3-VRF zugänglich, dem gleichen, in dem die meisten Betreiber Managementschnittstellen exposen. Ein Paket mit fehlerhaftem Input wird als privilegierter Code ausgeführt; im Falle eines Fehlers bringt es den S1HAL-Prozess zum Absturz und zwingt den Switch zum Reload. Mit anderen Worten, dasselbe Fehler bietet zwei Angriffswege: totale Kompromittierung oder Denial-of-Service, je nach Wahl des Angreifers.

Umfang der betroffenen Geräte

Cisco hat zehn betroffene Produkt-IDs aufgelistet: N9324C-SE1U, N9348Y2C6D-SE1U, N9364E-SG2-O, N9364E-SG2-Q, N9396T12C-SE1, N9348Y12C-SE1, N9396Y12C-SE1, N9336C-SE1 sowie die modularen Chassis N9K-C9804 und N9K-C9808. Die Auswahl ist nicht zufällig: es handelt sich um die Silicon-One-Generationen, die die vorherigen ASICs in den kürzlich durchgeführten Rollouts von hochdichten Fabriken ersetzt haben. Wer in den letzten achtzehn Monaten das Kernsystem des Rechenzentrums aktualisiert hat, hat eine hohe Wahrscheinlichkeit, betroffen zu sein.

Cisco hat am selben Tag Software-Updates und temporäre Maßnahmen veröffentlicht. Wo das Patch nicht sofort angewendet werden kann, besteht die implizite Empfehlung darin, die Ports 43210 und 43211 im VRF für Management über die Zugriffssteuerungsliste an der Perimeter-Infrastruktur zu schließen. Dies ist nicht trivial in Rechenzentrum-Fabriken, da diese Ports häufig von internen Observabilitätssystemen verwendet werden; jede blinde ACL kann die Telemetrie des Betriebs beeinträchtigen.

Wo es wehtut

Der Nexus 9000 ist das Rückgrat des Fabrics in drei Bereichen, die Risiken konzentrieren. Bei nordamerikanischen Cloud-Anbietern erscheinen die Chassis N9K-C9804 und N9K-C9808 auf Spine-Ebene in Regionen mit niedriger Dichte von AWS, Azure und Google Cloud sowie in fast allen Installationen neutraler Betreiber wie Equinix und Digital Realty. Ein Root-Shell auf einem Spine ist seitlicher Zugriff auf das gesamte VXLAN-Overlay, das darüber läuft. Bei europäischen Banken (Deutsche Bank, ING, BNP Paribas berichteten über Cisco-Deployments im Fabric-Kern in den letzten Zyklen) ist die Patch-Zeit durch das mit der nationalen Finanzaufsichtsbehörde vereinbarte Wartungsfenster reguliert, was die Remedierung bis Dezember verschieben kann. Bei asiatischen Betreibern, insbesondere KDDI und SoftBank, ist der Silicon-One-Bestand neuer, was die Exposition gegenüber veralteten Modellen verringert, aber die Exposition gegenüber genau den aufgelisteten SKUs erhöht.

Brasilien wird indirekt betroffen. Colocation-Anbieter, die nationale Finanzinstitutionen bedienen, haben die N9K-C9808 in kürzlichen Serverraumexpansionszyklen erworben, und regionale Cloud-Anbieter haben N9364E am Aggregationspunkt. Die praktische Antwort ist dieselbe wie in Europa: koordinierte Wartungsfenster, ACL-Überwachung am Perimeter, bis das Patch in der Produktion angewendet werden kann.

Keine öffentliche Ausnutzung, aber die Uhr tickt

Bis zur Veröffentlichung des Advisories hatte Cisco keine aktive Ausnutzung in der Wildnis angegeben. Das ist kein dauerhafter Trost. CVE-2023-20198, ebenfalls im Produkt Cisco-Netzwerk, wurde innerhalb von zehn Tagen nach Veröffentlichung massenhaft ausgenutzt. Die CVE-2024-20399 des spezifischen Nexus wurde in Kampagnen von Staatsakteuren innerhalb von acht Wochen beobachtet. Der historische Standard der Nexus-Reihe zeigt, dass automatisierte Scanner in den ersten Tagen TCP 43210 und ähnliche Ports durchsuchen und ein funktionierender Exploit vor Monatsende in spezialisierten Blogs erscheint.

Was sich im Compliance-Gespräch ändert

Betriebssicherheitsteams, die Silicon One noch als 'neue ASIC ohne kritischen CVE-Historie' behandelten, müssen neu kalibrieren. Es ist der zweite Advisory 9.8 im Cisco-Netzwerkprodukt im Jahr 2026, nach SD-WAN Manager im Juni. Für den Vorstand ist die Implikation mehr budgetär als technisch: ein Supportvertrag, der nur das monatliche Wartungsfenster abdeckt, ist nicht mehr akzeptabel, wenn der Vektor über den standardmäßigen Managementport zugänglich ist. Die Neuverhandlung von SLAs mit dem Anbieter und nicht nur die Anwendung des Patches wird die nächste Forderung der Auditoren sein.