Cisco Nexus 3000 és 9000 sorozatú switchek NGOAM távoli kódfuttatási sérülékenységei (CVE-2026-76485, CVE-2026-76486, CVE-2026-76501)

Mi történt

A Cisco NX-OS VXLAN üzemeltetési, felügyeleti és karbantartási funkciója, az úgynevezett NGOAM, nem megfelelően ellenőrzi az IP-forgalmat, amikor a funkció engedélyezve van. A támadó, aki az érintett Nexus 3000-es vagy 9000-es sorozatú switch egyik IP-interfészére speciálisan kialakított csomagokat képes küldeni, tetszőleges kódot futtathat root jogosultsággal, vagy folyamatok összeomlását és a switch újraindulását idézheti elő. A CVSS-alappontszám mindhárom CVE esetében 9,8; a támadás hálózaton keresztül, alacsony bonyolultság mellett, hitelesítés és felhasználói beavatkozás nélkül kivitelezhető.

A CVE-2026-76501 a Segment Routing over IPv6 OAM megvalósítását érinti, és csak akkor kihasználható, ha az érintett Nexus 9000-es sorozatú switchen mind az NGOAM, mind az SRv6 engedélyezve van.

A Cisco PSIRT közlése szerint nem tud nyilvános bejelentésekről vagy e sérülékenységek rosszindulatú kihasználásáról. A CISA KEV-listájában egyik sem szerepel.

Kit érint

A Nexus 3000-es és 9000-es sorozatú switcheken futó Cisco NX-OS szoftvert érintik a sérülékenységek, ha az NGOAM engedélyezve van.

• CVE-2026-76485 — Nexus 3000-es és 9000-es sorozatú switchek, VXLAN OAM: NX-OS 9.2(3), 9.2(2v), 9.2(1), 9.2(2t), 9.2(3y), 9.3(2), 9.2(4), 9.3(1)
• CVE-2026-76486 — Nexus 3000-es és 9000-es sorozatú switchek, VXLAN OAM: NX-OS 9.3(3), 9.3(4), 9.3(5), 9.3(6), 9.3(5w), 9.3(7), 9.3(7k), 9.3(7a)
• CVE-2026-76501 — Nexus 9000-es sorozatú switchek, SRv6 OAM: NX-OS 9.3(3), 9.3(4), 9.3(5), 9.3(6), 9.3(5w), 9.3(7), 9.3(7k), 9.3(7a)

Mit kell most tenni

1. Ellenőrizze, hogy az Ön környezetében szükség van-e az NGOAM funkcióra. Ha nincs rá szükség, kapcsolja ki a Cisco NX-OS CLI no feature ngoam parancsával globális konfigurációs módban. A Cisco szerint ez megszünteti a támadási vektort, de a vállalat azt javasolja, hogy a szervezetek először a saját környezetükben értékeljék az esetleges hatásokat.
2. Ha az NGOAM használata szükséges, korlátozza, hogy mely hálózatok érhetik el az érintett switchek IP-interfészeit, amíg a javított kiadások telepíthetők.
3. Telepítse a Cisco javított kiadásait. A Cisco szerint elérhetők a javítások, de a konkrét kiadásszámok ebben a riasztásban nem szerepelnek; az Ön NX-OS-verziójához tartozó javított kiadást a Cisco biztonsági közleményében ellenőrizze.
4. A változtatások elvégzése után figyelje az érintett switcheket: nem történik-e váratlan újraindulás vagy folyamat-összeomlás.

Hogyan észlelhető

A Cisco nem tett közzé konkrét kompromittálódásra utaló jeleket (IoC) ezekhez a sérülékenységekhez. Figyelje az érintett switcheken a váratlan újraindulásokat és az NGOAM-folyamatok összeomlását, amelyeket a biztonsági közlemény a szolgáltatásmegtagadás lehetséges hatásaiként ír le. Mivel a sikeres kihasználás root szintű kódfuttatást eredményezhet, érdemes áttekinteni a váratlan konfigurációs módosításokat és rendszergazdai tevékenységeket is.

A javításon túl

Ezek hálózati switchek, amelyeket nem megbízható hálózatokból nem lenne szabad elérni. A Virtuális CISO szolgáltatás (vCISO) segíthet felmérni és csökkenteni a hálózati kitettséget, hogy egy olyan switch, amelyen az NGOAM engedélyezve van, ne maradjon hitelesítés nélkül elérhető. Kihasználási kísérlet után a root szintű hozzáférés észlelésre érdemes tevékenységgel jár; a Menedzselt kiberbiztonsági felügyelet (MDR) ezt az észlelési és válaszadási képességet nyújtja.