Connectrix série MDS: Vulnerabilidade "Certificado SSL - Expirado"
Resumo: Esta vulnerabilidade é relatada sem qualquer ID Qualys (QID) ou identificador CVE com a descrição "SSL Certificate - Expired".
Sintomas
"SSL Certificate - Expired" An SSL Certificate associates an entity (person, organization, host, etc.) with a Public Key. In an SSL connection, the client authenticates the remote server using the server's Certificate and extracts the Public Key in the Certificate to establish the secure connection. A certificate with a past end date cannot be trusted. Results: Certificate #0 CN=nxos,OU=dcnxos,O=Cisco_Systems_Inc.L=San_Jose,ST=CA,C=US is not valid after Nov 24 13:30:45 2023 GMT.# Solution: Please install a server certificate with valid start and end dates.
Isso significa que o certificado NX-API expirou. Você pode verificar usando o comando "show nxapi"
`show nxapi` NX-API: Enabled Sandbox: Disabled HTTPS Port: 8443 Certificate Information: Issuer: C=US, ST=CA, L=San Jose, O=Cisco Systems Inc., OU=dcnxos, CN=nxos Expires: Jan 19 15:50:34 2024 GMT
Causa
https://www.cisco.com/c/en/us/td/docs/dcn/mds9000/sw/9x/programmability/cisco-mds-9000-nx-os-programmability-guide-9x/nx_api.html#concept_EFCD7D0EC8F14707B79366AA2A6368EFNas versões 8.1(x) e 8.2(x) do Cisco NX-OS, quando o NX-API é habilitado sobre HTTPS, um certificado autoassinado SHA-1 de 2048 bits é criado. Este certificado é válido por dois anos. Quando um certificado expirado é usado, o navegador exibe um aviso sobre vulnerabilidades de segurança.
No Cisco NX-OS Release 8.3(1) e versões posteriores, o certificado autoassinado expira após 24 horas.
Resolução
Para atenuar essa vulnerabilidade, você pode usar um certificado assinado pela CA.
ou, se o recurso NX-API não estiver em uso, você poderá desabilitá-lo usando o comando:
MDS-9148S# configure MDS-9148S(config)# no feature nxapi