近期，思科解決了Cisco Nexus Dashboard數據中心管理解決方案中的嚴重漏洞，這些漏洞可讓遠程攻擊者以root或管理員權限執行命令和操作。

第一個安全漏洞（被評為嚴重嚴重性漏洞，編號為 CVE-2022-20857）使未經身份驗證的威脅參與者能夠通過發送HTTP 請求來訪問API，并以root 權限遠程執行任意命令。

第二個漏洞（Web UI 中的一個高嚴重性漏洞，編號為 CVE-2022-20861）允許遠程攻擊者通過欺騙經過身份驗證的管理員單擊惡意鏈接來進行跨站點請求偽造攻擊。

對此，思科也作出了解釋，利用該漏洞可能允許攻擊者在受影響的設備上以管理員權限執行操作。而近期修補的另一個高嚴重性安全漏洞 (CVE-2022-20858) 可以讓未經身份驗證的遠程攻擊者通過打開與容器鏡像管理服務的TCP連接來下載容器鏡像或將惡意鏡像上傳到受影響的設備。幸運的是，正如思科在發布的安全公告中解釋的那樣，惡意圖像將在設備重啟或Pod重啟后運行。不過這些漏洞影響Cisco Nexus Dashboard 1.1及更高版本。思科已解決近期發布的2.2(1e)安全更新中的漏洞，并建議客戶盡快遷移到固定版本。

這些安全漏洞是由思科高級安全計劃小組 (ASIG) 的安全研究人員在內部安全測試期間發現的。思科的產品安全事件響應團隊 (PSIRT) 表示，目前暫不知道公開可用的漏洞利用或在野外的積極利用。同時思科還修補了Cisco Nexus 儀表板的SSL/TLS實施中的第四個漏洞 (CVE-2022-20860)，該漏洞可能讓未經身份驗證的遠程威脅參與者通過攔截中間人攻擊中的流量來改變通信，利用該漏洞還可能允許攻擊者查看敏感信息，包括受影響控制器的管理員憑據。思科表示之所以存在此漏洞，是因為當 Cisco Nexus Dashboard 與 Cisco 應用策略基礎設施控制器 (APIC)、Cisco Cloud APIC 或 Cisco Nexus Dashboard Fabric Controller（以前的數據中心網絡管理器 (DCNM) 控制器）建立連接時，未驗證 SSL 服務器證書。