Seria Connectrix MDS: Luka w zabezpieczeniach "SSL Certificate - Expired"
Podsumowanie: Ta luka w zabezpieczeniach jest zgłaszana bez żadnego identyfikatora Qualys ID (QID) ani identyfikatora CVE z opisem "SSL Certificate - Expired".
Objawy
"SSL Certificate - Expired" An SSL Certificate associates an entity (person, organization, host, etc.) with a Public Key. In an SSL connection, the client authenticates the remote server using the server's Certificate and extracts the Public Key in the Certificate to establish the secure connection. A certificate with a past end date cannot be trusted. Results: Certificate #0 CN=nxos,OU=dcnxos,O=Cisco_Systems_Inc.L=San_Jose,ST=CA,C=US is not valid after Nov 24 13:30:45 2023 GMT.# Solution: Please install a server certificate with valid start and end dates.
Oznacza to, że certyfikat NX-API wygasł. Możesz to sprawdzić za pomocą polecenia "show nxapi"
`show nxapi` NX-API: Enabled Sandbox: Disabled HTTPS Port: 8443 Certificate Information: Issuer: C=US, ST=CA, L=San Jose, O=Cisco Systems Inc., OU=dcnxos, CN=nxos Expires: Jan 19 15:50:34 2024 GMT
Przyczyna
https://www.cisco.com/c/en/us/td/docs/dcn/mds9000/sw/9x/programmability/cisco-mds-9000-nx-os-programmability-guide-9x/nx_api.html#concept_EFCD7D0EC8F14707B79366AA2A6368EFW systemach Cisco NX-OS w wersjach 8.1(x) i 8.2(x), gdy interfejs NX-API jest włączony przez protokół HTTPS, tworzony jest 2048-bitowy certyfikat SHA-1 z podpisem własnym. Certyfikat ten jest ważny przez dwa lata. Gdy wygasły certyfikat, przeglądarka wyświetla ostrzeżenie o lukach w zabezpieczeniach.
Począwszy od wersji Cisco NX-OS 8.3(1) i nowszych, certyfikat z podpisem własnym wygasa po 24 godzinach.
Rozwiązanie
Aby ograniczyć tę lukę, można użyć certyfikatu podpisanego przez instytucję certyfikującą.
lub jeśli funkcja NX-API nie jest używana, można ją wyłączyć za pomocą polecenia:
MDS-9148S# configure MDS-9148S(config)# no feature nxapi