FlawOpen

flawopen.com/Teardowns/cve-2026-76485-cisco-nexus-ngoam-rce

● CVE-2026-76485 · CVSS 9.8 · Kritisch
Sicherheitsforschung · FlawOpen

CVE-2026-76485: Remote Code Execution in Cisco Nexus NGOAM

CVE-2026-76485 betrifft Cisco Nexus 3000 und 9000 im eigenständigen NX-OS-Modus, wenn NGOAM aktiviert ist. Prüfen Sie den Funktionsstatus, bewerten Sie die Auswirkungen vor einer Deaktivierung und ermitteln Sie mit Cisco Software Checker die Korrektur für Plattform und Versionszweig.[1], [2]

CVSS-VektorCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
💡 Einfache Erklärung (ELI5)

Stellen Sie sich eine Switch-Funktion wie eine zusätzliche Servicetür in einem gesicherten Gebäude vor. Ist NGOAM aktiviert, können laut Cisco fehlerhafte Netzwerkpakete über diese Tür eine Schwachstelle in der Eingabeprüfung erreichen. Prüfen Sie zuerst, ob die Tür offen ist. Das Schließen kann den Netzwerkbetrieb beeinträchtigen; deaktivieren Sie die Funktion daher nur, wenn Ihre Architektur sie nicht benötigt und die Auswirkungen freigegeben sind.[1]

Kernkonzepte & Begriffe

NGOAM
NGOAM (Next Generation OAM): Netzwerkbetriebs- und Wartungsfunktion auf Nexus-Switches.[1]
Eigenständiges NX-OS
Der im Hinweis betroffene NX-OS-Betriebsmodus; Nexus 9000 im ACI-Modus ist als nicht betroffen aufgeführt.[1]
Erstes korrigiertes Release
Früheste Cisco-Version, die den Hinweis für das ausgewählte Produkt, die Plattform und den Zweig behebt.[2]

Framework-Zuordnungen

  • CWE-Referenz für die in diesem Leitfaden beschriebene Schwachstelle: CWE-121

Ursachenanalyse

Cisco führt CVE-2026-76485 auf eine unzureichende Validierung von IP-Verkehr zurück, wenn Next Generation OAM (NGOAM) auf Cisco Nexus 3000 oder 9000 im eigenständigen NX-OS-Modus aktiviert ist. Cisco beschreibt manipulierte Pakete an eine IP-Schnittstelle als Angriffsweg und bewertet den Fehler mit CVSS 3.1 9.8 Critical und CWE-121. Ein erfolgreicher Angriff könnte Code mit Root-Rechten ausführen oder einen Denial-of-Service verursachen. Cisco zufolge wurde der Fehler bei internen Tests entdeckt; bei Veröffentlichung des Hinweises am 07.10.2026 waren dem PSIRT keine öffentlichen Meldungen oder böswilligen Aktivitäten bekannt. Cisco veröffentlicht weder verwundbaren Quellcode noch einen Patch-Diff; die folgende Konfiguration dient der Expositionsprüfung und bedingten Mitigation, nicht der Rekonstruktion des Codes. Derselbe Hinweis behandelt CVE-2026-76486 und CVE-2026-76501, für die zusätzliche SRv6- oder NV-Overlay-Voraussetzungen gelten; übertragen Sie diese nicht auf CVE-2026-76485.[1]

Geltungsbereich und Behebung von CVE-2026-76485

Plattform / StatusAngabe des HinweisesEntscheidung
Nexus 3000/9000, NX-OS standalone, NGOAM aktiviertDies ist die dokumentierte betroffene Konfiguration.show feature | include ngoam erfassen, Exposition bewerten und auf das für diese genaue Plattform bestimmte Release aktualisieren.
NX-OS standalone, NGOAM deaktiviertDie NGOAM-Konfigurationsvoraussetzung ist nicht erfüllt; das Deaktivieren ist nur dann eine vorübergehende Maßnahme, wenn die Funktion nicht benötigt wird.Den Funktionsstatus nicht als Softwarekorrektur behandeln. Auswirkungen prüfen und das zutreffende Upgrade trotzdem planen.
Nexus 9000 im ACI-ModusCisco bestätigt, dass dieser Modus von diesem Hinweis nicht betroffen ist.Den Modus dokumentieren; die Aussage zur NX-OS-standalone-Exposition nicht darauf übertragen.
Auswahl des korrigierten ReleasesDer Hinweis nennt keine universelle NX-OS-Version; das erste korrigierte Release hängt von Produkt, Plattform und installierter Version ab.Mit Cisco Software Checker das gerätespezifische korrigierte Release ermitteln.
Verwandte CVE-2026-76486 / CVE-2026-76501Für diese verwandten Schwachstellen gelten zusätzliche Voraussetzungen für SRv6 oder NV Overlay.Jede CVE anhand ihrer eigenen Funktionsbedingungen bewerten; Exposition nicht aus dieser Zeile ableiten.

Schritt-für-Schritt Angriffsablauf

Schritt 1

Plattform und Modus bestätigen

Prüfen Sie, ob das Gerät ein Nexus 3000 oder 9000 mit eigenständigem NX-OS ist. Cisco zufolge sind Nexus 9000 im ACI-Modus und weitere aufgeführte Produkte von diesem Hinweis nicht betroffen.[1]

Schritt 2

NGOAM-Status prüfen

Führen Sie show feature | include ngoam aus. Bei aktiviertem NGOAM ist die Konfigurationsvoraussetzung für CVE-2026-76485 erfüllt; der Befehl prüft die lokale Konfiguration und testet keinen Angriff.[1]

Schritt 3

Exposition eingrenzen

Cisco beschreibt den Fehler als unauthentifiziert und über manipulierten IP-Verkehr an eine Schnittstelle erreichbar. Paketdetails oder einen Quellcode-Aufrufpfad veröffentlicht Cisco nicht; leiten Sie keinen bestimmten Parser oder Speicheraufbau ab.[1]

Schritt 4

Mitigation oder Upgrade wählen

Wird NGOAM nicht benötigt, entfernt laut Cisco no feature ngoam den Angriffsvektor für alle drei Fehler, kann aber den Netzwerkbetrieb beeinträchtigen. Andernfalls ermitteln Sie mit Cisco Software Checker für Plattform und installierte Version das erste korrigierte Release.[1], [2]

Quellcode: Verwundbar vs. Sicher

Cisco empfiehlt die Deaktivierung von NGOAM nur, wenn die Funktion nicht benötigt wird; bewerten Sie vorher die Auswirkungen auf den Dienst. Der Befehl ist eine dokumentierte Mitigation des Herstellers und ersetzt kein korrigiertes Release. Der anfällige Ausschnitt zeigt nur den aktivierten Funktionszustand, keinen Quellcode.[1]

Quelltextauszug: Beispielhafter Konfigurationszustand; kein Cisco-Quellcode

VERWUNDBARE IMPLEMENTIERUNG
! Illustrative exposed configuration state, not vulnerable source code
feature ngoam
! Confirm status with: show feature | include ngoam
GEHÄRTETER SICHERHEITS-PATCH
! Only if NGOAM is not required and impact is approved
configure terminal
no feature ngoam
end
! Verify status with: show feature | include ngoam

Checkliste für Engineering & Systemsicherheit

Quellen