CVE-2022-33186: Sicherheitslücke in Brocade Fabric OS unbedingt schließen!

Bereits Ende letzten Jahres wurde eine Schwachstelle in den Brocade Fabric OS-Software Versionen v9.1.1, v9.0.1e, v8.2.3c, v7.4.2j und älter entdeckt. Kunden, die diese Versionen noch einsetzen, sollten die Sicherheitslücke möglichst bald durch ein Update oder einen Workaround schließen. Angreifer könnten die Schwachstelle ausnutzen, um beliebigen Programmcode auf den betroffenen Switches auszuführen.

Experten stufen das Risiko der Schwachstelle mit der Identifikationsnummer CVE-2022-33186 als hoch ein und haben daher in den letzten Wochen mehrere Sicherheitshinweise veröffentlicht. Die Lücke ermöglicht es einem entfernten, nicht authentifizierten Angreifer, auf einem Brocade Fabric OS-Switch Befehle auszuführen. Dadurch wäre er unter anderem in der Lage, das Zoning zu ändern, den Switch zu deaktivieren, Ports zu deaktivieren und die IP-Adresse des Switches zu ändern. Das könnte letztlich zum kompletten Ausfall des SAN-basierten Storage führen.

Welche Systeme sind von der Sicherheitslücke betroffen?

Die Schwachstelle in Brocade Fabric OS betrifft alle Brocade Fibre Channel Switches von Broadcom sowie deren OEM-Derivate von Herstellern wie HPE, Lenovo, IBM, Dell EMC und Fujitsu.

Weitere Informationen zu der Sicherheitslücke finden Sie hier:

Wie können Kunden die Sicherheitslücke schließen?

Aktualisieren Sie Brocade Fabric OS auf eine der folgenden Versionen:

Version 9.1.1_01 oder neuer
Version 9.0.1e1 oder neuer 
Version 8.2.3c1 oder neuer
Version 7.4.2j1 oder neuer 

Für Kunden, die das Update nicht einspielen können, weil zum Beispiel kein Support mehr existiert, gibt es einen Workaround. Dabei müssen die EZServer-Module deaktiviert werden, um die Gefährdung durch die Schwachstelle zu beseitigen.
Das Deaktivieren von EZServer wird durch die Verwendung des CLI-Befehls configurechassis erreicht. Diese Option ist jedoch nur in Brocade Fabric OS-Versionen v8.1.0b und höher verfügbar. Kunden, die ältere Versionen von Brocade Fabric OS, einschließlich v7.4.2j, ausführen, haben diese Option nicht und müssen auf Brocade Fabric OS v7.4.2j1 aktualisieren, um ihre Switches zu schützen.

Dieses Beispiel zeigt, wie das EZServer-Modul deaktiviert wird:

brocadeswitch:admin> configurechassis
Configure...
cfgload attributes (yes, y, no, n): [no]
ssl attributes (yes, y, no, n): [no]
webtools attributes (yes, y, no, n): [no] y
...
Login Session Timeout (in secs): (60..432000) [7200]
EZserver Enabled (yes, y, no, n): [yes] no
... 
brocadeswitch:admin > 

Durch die folgenden Aktionen kann EZServer auf Brocade Fabric OS wieder aktiviert werden:

firmwarecleaninstall 
config removall 
configdefault 
factory reset 

Nehmen Sie Kontakt mit uns auf, wenn Sie noch Fragen zur Sicherheitslücke CVE-2022-33186 haben!