یک آسیب‌پذیری مربوط به پروتکل تونلینگ IP-in-IP که می‌تواند برای حملات منع سرویس و دورزدن کنترل‌های امنیتی مورد بهره‌برداری قرار بگیرد، دستگاه‌های سیسکو و سایر فروشندگان را تحت تأثیر قرار داده است. به گفته‌ی محققان، مهاجم غیرمجاز می‌تواند ترافیک شبکه را از طریق دستگاه آسیب‌پذیر مسیریابی کرده و به این ترتیب، منجر به ایجاد شرایط منع سرویس توزیع‌شده، افشای اطلاعات و دورزدن کنترل‌های دسترسی به شبکه شود.
این آسیب‌پذیری که با شناسه‌ی CVE-2020-10136 ردیابی شده و در سیستم CVSS، امتیاز ۸٫۶ را دریافت کرده است، مربوط به پشته‌ی شبکه‌ی نرم‌افزار بوده و می‌تواند توسط یک مهاجم راه دور، بدون احراز هویت و از طریق ارسال یک بسته‌ی IP-in-IP طراحی‌شده به دستگاه آسیب‌پذیر، مورد بهره‌برداری قرار بگیرد.
به گفته‌ی سیسکو، تحت شرایط خاص، بهره‌برداری موفق از این آسیب‌پذیری می‌تواند موجب خرابی و راه‌اندازی چندباره‌ی فرآیند پشته‌ی شبکه و به این ترتیب، بارگیری مجدد دستگاه آسیب‌دیده و ایجاد شرایط منع سرویس شود. این شرایط زمانی ایجاد می‌شود که ترافیک IP-in-IP تنها برای دستگاه آسیب‌دیده اختصاص یابد. علاوه‌براین، هم carrier و هم passenger datagrams در بسته‌های IP-in-IP باید از نوع IPv4 باشند.
سیسکو اعلام کرد، این آسیب‌پذیری سوییچ‌های Nexus زیر را تحت تأثیر قرار می‌دهد: ۱۰۰۰ Virtual Edge for VMware vSphere (CSCvu10050)، ۱۰۰۰V for Microsoft Hyper-V (CSCvt67738) و VMware vSphere (CSCvt67738)، مجموعه‌ی محدودی از Series 3000 (CSCun53663) و ۹۰۰۰ Series in standalone NX-OS mode (CSCun53663)، ۵۵۰۰ (CSCvt67739) و ۵۶۰۰ Platform Switches (CSCvt67739)، ۶۰۰۰ (CSCvt67739) و ۷۰۰۰ Series (CSCvt66624) و UCS 6200 (CSCvu03158) و UCS 6300 Series Fabric Interconnects (CSCvt67740).
سیسکو همچنین توضیح می‌دهد، حتی دستگاه‌هایی که رابط کاربری پیکربندی‌شده برای تونل IP-in-IP ندارند، آسیب‌پذیر هستند. از سوی دیگر، UCS Fabric Interconnects تنها زمانی تحت تأثیر این آسیب‌پذیری قرار دارد که پروتکل NetFlow فعال بوده و یک پروفایل صادرکننده‌ی جریان با آدرس IP تنظیم‌شده برای رابط صادرکننده، پیکربندی شده باشد.
سیسکو به‌منظور وصله‌ی این آسیب‌پذیری در نرم‌افزارهای خود، به‌روزرسانی‌های امنیتی و همچنین توصیه‌هایی را برای کاهش خطر منتشر کرده است. این شرکت اظهار داشت، از بهره‌برداری از آسیب‌پذیری مذکور در حملات آگاهی ندارد.
به گفته‌ی محققان، محصولات شرکت‌های دیگری همچون Digi International ، Hewlett Packard Enterprise و Treck نیز تحت تأثیر این آسیب‌پذیری قرار دارند. شرکت Digi International با انتشار نسخه‌ی ۸٫۱٫۰٫۱ برایSAROS VERSION (نسخه‌ی ۷٫۶۷ Bootloader) و شرکت Treck با انتشار نسخه‌ی ۶٫۰٫۱٫۴۹ این آسیب‌پذیری را وصله کرده‌اند. بهره‌برداری اثبات مفهومی این آسیب‌پذیری درحال‌حاضر به‌صورت عمومی در دسترس است.
