Cisco waarschuwt voor een actief aangevallen kwetsbaarheid in verschillende modellen switches waardoor een aanvaller met beheerderstoegang willekeurige commando's als root op het onderliggende besturingssysteem kan uitvoeren. Aanvallers hebben het lek gebruikt om switches met malware te infecteren waardoor ze op afstand op de gecompromitteerde switches kunnen inloggen.

Het beveiligingslek (CVE-2024-20399) bevindt zich in NX-OS, een besturingssysteem dat op netwerkswitches van Cisco draait. De kwetsbaarheid wordt veroorzaakt door het onvoldoende valideren van argumenten die aan bepaalde configuratie-CLI-commando's worden meegegeven. Een vereiste voor misbruik van het beveiligingslek is dat een aanvaller al 'administrator credentials' moet hebben. Daardoor is de impact op een schaal van 1 tot en met 10 beoordeeld met een 6.0.

Cisco werd in april door securitybedrijf Sygnia ingelicht dat aanvallers actief misbruik van het lek maakten. Updates zijn nu beschikbaar gemaakt voor MDS 9000 en Nexus 3000, 5500, 5600, 6000, 7000 en 9000 switches. Naast het installeren van de updates adviseert Cisco om inloggegevens van beheerders te monitoren en regelmatig te wijzigen.

Volgens Sygnia heeft een aan China gelieerde spionagegroep genaamd 'Velvet Ant' misbruik van het lek gemaakt om switches met malware te infecteren, om vervolgens toegang tot het apparaat te behouden. "Netwerkapparaten, met name switches, worden vaak niet gemonitord, en hun logs worden vaak niet doorgestuurd naar een gecentraliseerd loggingsysteem. Dit gebrek aan monitoring zorgt voor grote uitdagingen in het identificeren van onderzoeken van malafide activiteiten", aldus de onderzoekers.