Peringatan Keamanan

Publikasi KUTIM-CSIRT

Peringatan Keamanan

Peringatan Keamanan: Kerentanan Cisco Nexus 9000 Series Switches (CVE-2026-20212)

Adam  ·  16 Sep 2026  ·  KUTIM-SA-2026-063  ·  TLP:CLEAR

Peringatan Keamanan: Kerentanan Cisco Nexus 9000 Series Switches (CVE-2026-20212)
Sumber: Artikel ini diterbitkan ulang oleh KUTIM-CSIRT berdasarkan Security Advisory (Imbauan Keamanan) yang diedarkan Direktorat Operasi Keamanan Siber BSSN kepada Ketua TTIS Organisasi dan TTIS Sektor pada 15 September 2026. Nomor CVE, skor, dan produk terdampak bersumber dari edaran tersebut beserta lampiran resminya, dan telah kami verifikasi ulang ke NVD serta advisory Cisco. Dokumen asli: Security Advisory CVE-2026-20212 Kerentanan pada Cisco Nexus 9000 Series Switches – BSSN/Id-SIRTII.

KUTIM-CSIRT mengimbau seluruh Perangkat Daerah di lingkungan Pemerintah Kabupaten Kutai Timur yang mengoperasikan Cisco Nexus 9000 Series Switches untuk memeriksa dan menindaklanjuti CVE-2026-20212, kerentanan remote code execution berskor CVSS 9,8 (Critical) yang dapat dieksploitasi tanpa autentikasi dan berjalan dengan hak akses root.

Ikhtisar

CVE-2026-20212 terdapat pada integrasi Silicon One untuk switch Cisco Nexus 9000 Series. Layanan yang berkaitan dengan integrasi tersebut membuka port TCP 43210 dan 43211 pada virtual routing and forwarding (VRF) Layer 3 bawaan. Jenis kelemahannya adalah Binding to an Unintended Port (CWE-1327), dengan vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H.

Penegasan terhadap edaran: edaran BSSN hanya menyebut “Cisco Nexus 9000 Series Switches (Silicon One integration)” tanpa daftar versi NX-OS. Advisory Cisco juga tidak memuat tabel versi di halamannya, melainkan mengarahkan pelanggan ke Cisco Software Checker untuk mengetahui apakah rilis yang dipakai terdampak dan rilis perbaikan pertamanya. Karena itu tabel di bawah tidak mencantumkan angka versi, dan nomor versi yang beredar di media sekunder sebaiknya tidak dijadikan rujukan tunggal.

Dampak

  • Penyerang yang dapat menjangkau port TCP 43210 atau 43211 pada switch dapat mengirim masukan buatan yang dieksekusi sebagai kode dengan hak akses root.
  • Eksploitasi yang berhasil juga dapat membuat proses S1HAL crash, sehingga switch gagal berfungsi dan memaksa reload, yang berarti terputusnya layanan jaringan di belakangnya.
  • Switch Nexus 9000 biasanya berada di inti jaringan pusat data. Pengambilalihannya memberi penyerang posisi untuk mengintip, membelokkan, atau memutus lalu lintas.

Sistem yang Terdampak

ProdukVersi TerdampakVersi Perbaikan
Cisco Nexus 9000 Series Switches (integrasi Silicon One)Rilis NX-OS yang ditentukan oleh Cisco Software Checker (daftar tidak dimuat di edaran maupun halaman advisory)Rilis perbaikan pertama menurut Cisco Software Checker pada advisory cisco-sa-n9k-s1-rce-EH8dEtr

Detail Teknis

Layanan S1HAL (Silicon One Hardware Abstraction Layer) pada switch mendengarkan pada port TCP 43210 dan 43211 yang dapat dijangkau melalui VRF Layer 3 bawaan, sehingga dapat dihubungi dari jaringan mana pun yang mampu melakukan routing ke switch. Masukan yang diterima layanan ini tidak dibatasi dengan semestinya, sehingga dapat dieksekusi sebagai kode. Tidak diperlukan akun maupun interaksi pengguna (PR:N, UI:N).

Rincian eksploitasi tidak kami muat di sini.

Rekomendasi

  1. Inventarisasi switch Nexus 9000 beserta versi NX-OS, dan periksa apakah model memakai Silicon One melalui Cisco Software Checker.
  2. Perbarui NX-OS ke rilis perbaikan yang ditunjukkan Software Checker untuk advisory cisco-sa-n9k-s1-rce-EH8dEtr.
  3. Sebagai mitigasi sementara, blokir TCP 43210 dan 43211 menuju switch dengan infrastructure access control list (iACL) atau firewall; izinkan hanya lalu lintas manajemen dan control plane yang diperlukan.
  4. Cisco juga menerbitkan Live Protect shield sebagai mitigasi sementara untuk platform tertentu; gunakan sebagai jembatan sampai pembaruan terjadwal, bukan pengganti pembaruan.
  5. Uji dampak ACL terhadap fungsi jaringan sebelum diterapkan massal, sebagaimana peringatan Cisco.
  6. Pantau reload switch yang tidak terjadwal dan koneksi tak dikenal ke port tersebut.
  7. Laporkan ke KUTIM-CSIRT melalui kanal pelaporan resmi apabila ditemukan indikasi penyusupan.

Catatan Status Eksploitasi

CVE-2026-20212 belum tercatat di katalog KEV CISA per 16 September 2026. Cisco, pada saat pengumumannya, menyatakan tidak mengetahui adanya penyalahgunaan. Namun kerentanan ini dapat dipicu lewat jaringan tanpa autentikasi dan berskor 9,8, sehingga tetap perlu ditangani segera.

Referensi

Kembali ke Artikel