Connectrix MDS-Series : Faille de sécurité « Certificat SSL - Expiré »
Résumé: Cette faille de sécurité est signalée sans ID Qualys (QID) ou identifiant CVE avec la description « Certificat SSL - Expiré ».
Symptômes
"SSL Certificate - Expired" An SSL Certificate associates an entity (person, organization, host, etc.) with a Public Key. In an SSL connection, the client authenticates the remote server using the server's Certificate and extracts the Public Key in the Certificate to establish the secure connection. A certificate with a past end date cannot be trusted. Results: Certificate #0 CN=nxos,OU=dcnxos,O=Cisco_Systems_Inc.L=San_Jose,ST=CA,C=US is not valid after Nov 24 13:30:45 2023 GMT.# Solution: Please install a server certificate with valid start and end dates.
Cela signifie que le certificat NX-API a expiré. Vous pouvez le vérifier à l’aide de la commande « show nxapi »
`show nxapi` NX-API: Enabled Sandbox: Disabled HTTPS Port: 8443 Certificate Information: Issuer: C=US, ST=CA, L=San Jose, O=Cisco Systems Inc., OU=dcnxos, CN=nxos Expires: Jan 19 15:50:34 2024 GMT
Cause
https://www.cisco.com/c/en/us/td/docs/dcn/mds9000/sw/9x/programmability/cisco-mds-9000-nx-os-programmability-guide-9x/nx_api.html#concept_EFCD7D0EC8F14707B79366AA2A6368EFSur les versions Cisco NX-OS 8.1(x) et 8.2(x), lorsque NX-API est activé sur HTTPS, un certificat auto-signé SHA-1 2048 bits est créé. Ce certificat est valable deux ans. Lorsqu’un certificat expiré est utilisé, le navigateur affiche un avertissement concernant les failles de sécurité.
À partir des versions 8.3(1) et ultérieures de Cisco NX-OS, le certificat auto-signé expire au bout de 24 heures.
Résolution
Pour limiter cette vulnérabilité, vous pouvez utiliser un certificat signé par une autorité de certification.
ou si la fonction NX-API n’est pas utilisée, vous pouvez la désactiver à l’aide de la commande :
MDS-9148S# configure MDS-9148S(config)# no feature nxapi