„Cisco“ atskleidė kritinę spragą dirbtinio intelekto duomenų centruose naudojamuose „Nexus 9000“ komutatoriuose

„Cisco“ ↘ 3.76% rugsėjo 2 d. atskleidė kritinę pažeidžiamumą, paveikusį „Nexus 9000“ serijos komutatorius su „Silicon One“ ASIC lustais. Ši spraga gali leisti neautentifikuotiems užpuolikams vykdyti kodą su administratoriaus (root) teisėmis įrangoje, kuri sudaro daugelio didžiausių pasaulio dirbtinio intelekto duomenų centrų tinklų pagrindą. Pranešimas pasirodė kartu su „IOS XR“ saugumo atnaujinimais ir praėjus kelioms dienoms po to, kai kibernetinio saugumo įmonė „Sygnia“ atskleidė, kad su Kinija siejama šnipinėjimo grupė slapstėsi „Cisco“ maršrutizatoriuose, siekdama vogti duomenis ir šnipinėti tinklo srautą.

9,8 balo pavojingumo spraga pagrindinėje duomenų centro įrangoje

Pažeidžiamumas, registruotas kaip CVE-2026-20212, turi 9,8 balo CVSS įvertinimą iš 10 galimų. Problema kyla dėl to, kad TCP prievadai 43210 ir 43211 yra pasiekiami per numatytąjį 3 lygio virtualų maršrutizavimo ir persiuntimo egzempliorių paveiktuose komutatoriuose. Užpuolikas, turintis prieigą prie tinklo, gali siųsti specialiai suformuotas užklausas į šiuos prievadus ir gauti root lygio vykdymo teises arba priversti „S1HAL“ procesą užstrigti ir perkrauti įrenginį.theroboticsmedia+3

Iš viso paveikti dešimt „Nexus 9000“ modelių, įskaitant modulines platformas N9K-C9804 ir N9K-C9808. „Nexus 9000“ komutatoriai, veikiantys ACI režimu, taip pat „Nexus 3000“, „Nexus 7000“ ir kelios kitos produktų šeimos yra saugūs. „Cisco“ teigimu, spraga buvo aptikta techninės pagalbos centro užklausos metu, o ne aktyvaus išnaudojimo metu. PSIRT pranešė, kad iki informacijos atskleidimo nebuvo žinoma apie jokį piktavališką šios spragos panaudojimą. Bendrovė išleido pataisytą NX-OS programinę įrangą ir rekomendavo kaip laikiną priemonę užblokuoti šiuos du prievadus naudojant infrastruktūros ACL.cyberpress+3

Tą pačią dieną „Cisco“ paskelbė atskirą „IOS XR“ saugumo atnaujinimą, skirtą septynioms pažeidžiamumų grupėms, iš kurių dvi taip pat turi 9,8 CVSS balą.thehackernews+1

Su Kinija siejama grupė maršrutizatorius pavertė šnipinėjimo platformomis

Likus kelioms dienoms iki „Cisco“ įspėjimų, „Sygnia“ paskelbė tyrimą, kuriame išsamiai aprašoma, kaip su Kinija siejama grupė, vadinama „Fire Ant“, kompromitavo „Cisco IOS XR“ maršrutizatorius ir naudojo juos srautui perimti, administratoriaus duomenims vogti bei kritinės infrastruktūros tinklams žvalgyti. Tyrėjai aptiko nepaaiškinamą GRE tunelį maršrutizatoriuje, kurio įrenginio konfigūracijos įrašai negalėjo pagrįsti, o tai paskatino išsamesnį tyrimą.bleepingcomputer+1

„Fire Ant“ įdiegė pasirinktinę kenkėjišką programinę įrangą maršrutizatoriuose, selektyviai slopino „syslog“ pranešimus, kad išliktų nepastebėti, ir fiksavo tinklo srautą, kuris buvo įkeliamas į išorinius serverius. Grupė taip pat kompromitavo „TACACS“ autentifikavimo serverius naudodama anksčiau nedokumentuotą įrankį „TacTap“, kad rinktų prisijungimo duomenis. Antrasis „backdoor“ įrankis, „BridgeAgent“, buvo užmaskuotas kaip „Zabbix“ stebėjimo agentas ir suteikė nuolatinę root lygio prieigą.cybersecuritydive+1

„Fire Ant“ rinko tinklo srautą ir administratoriaus prisijungimo duomenis, sudarinėjo maršrutus ir patikimus ryšius, sukūrė kelis nuolatinės prieigos mechanizmus ir manipuliavo įrodymais, kad sumažintų aptikimo tikimybę“, – „Cybersecurity Dive“ sakė „Sygnia“ incidentų reagavimo direktorius Asafas Perlmanas.cybersecuritydive

Didėjančios grėsmės DI infrastruktūrai

Šie du pranešimai pabrėžia didėjančią atakų riziką organizacijoms, vykdančioms dirbtinio intelekto užduotis. „Nexus 9000 Silicon One“ komutatoriai tarnauja kaip pagrindinė infrastruktūra GPU-GPU srautui didelio masto DI mokymo klasteriuose. Tokios įrangos kompromitavimas root lygiu galėtų leisti užpuolikui perimti arba manipuliuoti duomenimis, judančiais tarp GPU, apeinant programinės įrangos lygmenyje įdiegtas apsaugos priemones.forkast

„Sygnia“ tyrimas apibūdino „Fire Ant“ metodą kaip „taikinio už taikinio“ siekimą – pirmiausia perimant patikimą tinklo įrangą, o tada naudojant ją kaip tiltą į prijungtas vertingas aplinkas. „Cisco“ „IOS XR“ rekomendacijose „Fire Ant“ ar „Sygnia“ išvadų neminima, o „Sygnia“ nenustatė jokio konkretaus „Cisco“ pažeidžiamumo, kuris būtų buvęs panaudotas įsilaužimams.ntd+2