Connectrix serie MDS: Vulnerabilidad "Certificado SSL - Caducado"
Resumen: Esta vulnerabilidad se informa sin ningún ID de Qualys (QID) o identificador CVE con la descripción "Certificado SSL - Caducado".
Síntomas
"SSL Certificate - Expired" An SSL Certificate associates an entity (person, organization, host, etc.) with a Public Key. In an SSL connection, the client authenticates the remote server using the server's Certificate and extracts the Public Key in the Certificate to establish the secure connection. A certificate with a past end date cannot be trusted. Results: Certificate #0 CN=nxos,OU=dcnxos,O=Cisco_Systems_Inc.L=San_Jose,ST=CA,C=US is not valid after Nov 24 13:30:45 2023 GMT.# Solution: Please install a server certificate with valid start and end dates.
Esto significa que el certificado NX-API venció. Puede verificar usando el comando "show nxapi"
`show nxapi` NX-API: Enabled Sandbox: Disabled HTTPS Port: 8443 Certificate Information: Issuer: C=US, ST=CA, L=San Jose, O=Cisco Systems Inc., OU=dcnxos, CN=nxos Expires: Jan 19 15:50:34 2024 GMT
Causa
https://www.cisco.com/c/en/us/td/docs/dcn/mds9000/sw/9x/programmability/cisco-mds-9000-nx-os-programmability-guide-9x/nx_api.html#concept_EFCD7D0EC8F14707B79366AA2A6368EFEn las versiones 8.1(x) y 8.2(x) de Cisco NX-OS, cuando NX-API está habilitado a través de HTTPS, se crea un certificado autofirmado SHA-1 de 2048 bits. Este certificado tiene una validez de dos años. Cuando se utiliza un certificado vencido, el navegador muestra una advertencia sobre vulnerabilidades de seguridad.
A partir de la versión 8.3(1) de Cisco NX-OS y posteriores, el certificado autofirmado caduca después de 24 horas.
Resolución
Para mitigar esta vulnerabilidad, puede usar un certificado firmado por una CA.
o si la función NX-API no está en uso, puede deshabilitarla mediante el comando:
MDS-9148S# configure MDS-9148S(config)# no feature nxapi