FlawOpen

flawopen.com/Teardowns/cve-2026-76485-cisco-nexus-ngoam-rce

● CVE-2026-76485 · CVSS 9.8 · Crítica
Investigación · FlawOpen

CVE-2026-76485: ejecución remota en NGOAM de Cisco Nexus

CVE-2026-76485 afecta a switches Cisco Nexus 3000 y 9000 en modo NX-OS independiente cuando NGOAM está habilitado. Comprueba el estado de la función, evalúa el impacto antes de deshabilitarla y consulta Cisco Software Checker para obtener la corrección de tu plataforma y rama.[1], [2]

Vector CVSSCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
💡 Explicación en Lenguaje Sencillo (ELI5)

Piensa en una función del switch como una puerta de servicio adicional en un edificio protegido. Cuando NGOAM está habilitado, Cisco indica que tráfico de red malformado puede alcanzar una falla de validación a través de esa puerta. Primero comprueba si está abierta; cerrarla puede interrumpir operaciones de red, así que deshabilítala solo si tu diseño no la necesita y el impacto está aprobado.[1]

Conceptos Clave y Términos

NGOAM
NGOAM (Next Generation OAM): función de operación y mantenimiento de red de los switches Nexus.[1]
NX-OS independiente
Modo NX-OS cubierto por el aviso; Nexus 9000 en modo ACI figura como no afectado.[1]
Primera versión corregida
Versión Cisco más temprana que corrige el aviso para el producto, plataforma y rama seleccionados.[2]

Mapeos de marcos

  • Referencia CWE para la debilidad descrita en esta guía: CWE-121

Análisis de Causa Raíz

Cisco atribuye CVE-2026-76485 a una validación incorrecta del tráfico IP cuando Next Generation OAM (NGOAM) está habilitado en switches Cisco Nexus 3000 o 9000 con NX-OS en modo independiente. Cisco describe paquetes manipulados enviados a una interfaz IP como vía de ataque y asigna CVSS 3.1 9.8 Critical, CWE-121. Un ataque exitoso podría ejecutar código con privilegios root o provocar una denegación de servicio. Cisco indica que encontró la vulnerabilidad durante pruebas internas y que, al publicar el aviso el 07/10/2026, PSIRT no conocía anuncios públicos ni uso malicioso. Cisco no publica el código vulnerable ni un diff; la configuración siguiente es una comprobación de exposición y una mitigación condicional, no una reconstrucción del código. El mismo aviso cubre CVE-2026-76486 y CVE-2026-76501, pero tienen requisitos adicionales de SRv6 o NV Overlay; no atribuyas esas condiciones a CVE-2026-76485.[1]

Aplicabilidad y corrección de CVE-2026-76485

Plataforma / estadoQué indica el avisoDecisión del operador
Nexus 3000/9000, NX-OS standalone, NGOAM habilitadoEsta es la configuración afectada documentada.Registra show feature | include ngoam, evalúa la exposición y actualiza a la versión indicada para esa plataforma exacta.
NX-OS standalone, NGOAM deshabilitadoNo se cumple el requisito de configuración NGOAM; deshabilitar la función solo es una mitigación temporal cuando no se necesita.No consideres el estado de la función como una corrección de software. Evalúa el impacto operativo y planifica igualmente la actualización aplicable.
Nexus 9000 en modo ACICisco confirma que este modo no está afectado por este aviso.Registra el modo; no apliques la descripción de exposición de NX-OS standalone.
Selección de la versión corregidaEl aviso no define una versión NX-OS universal; la primera versión corregida depende del producto, la plataforma y la versión instalada exactos.Usa Cisco Software Checker para obtener la versión corregida específica del dispositivo.
CVE-2026-76486 / CVE-2026-76501 relacionadasEstas vulnerabilidades relacionadas tienen requisitos adicionales de SRv6 o NV Overlay.Evalúa cada CVE según sus propios requisitos de funciones; no deduzcas su exposición a partir de esta fila.

Flujo de Ataque Paso a Paso

Paso 1

Confirma plataforma y modo

Confirma que el dispositivo sea un Nexus 3000 o 9000 con NX-OS independiente. Cisco indica que Nexus 9000 en modo ACI y otros productos enumerados no están afectados por este aviso.[1]

Paso 2

Comprueba NGOAM

Ejecuta show feature | include ngoam. Si NGOAM está habilitado, se cumple el requisito de configuración de CVE-2026-76485; este comando comprueba la configuración local, no prueba una explotación.[1]

Paso 3

Delimita la exposición

La falla se describe como accesible por red y sin autenticación, mediante tráfico IP manipulado enviado a una interfaz. Cisco no publica detalles de paquetes ni una secuencia de llamadas del código; no infieras un parser o diseño de memoria concreto.[1]

Paso 4

Elige mitigación o actualización

Si no necesitas NGOAM, Cisco indica que no feature ngoam elimina la vía de ataque de las tres fallas, aunque puede afectar la red. En caso contrario, usa Cisco Software Checker con la plataforma y versión exactas y actualiza a la primera versión corregida.[1], [2]

Código Fuente: Vulnerable vs. Seguro

Cisco recomienda deshabilitar NGOAM solo si la función no es necesaria; evalúa el impacto en el servicio antes de aplicarlo. El comando es una mitigación documentada por el proveedor, no sustituye la versión corregida. El panel vulnerable representa la función habilitada, no el código fuente.[1]

Fragmento de origen: Estado ilustrativo de configuración operativa; no es código fuente de Cisco

IMPLEMENTACIÓN VULNERABLE
! Illustrative exposed configuration state, not vulnerable source code
feature ngoam
! Confirm status with: show feature | include ngoam
PARCHE SEGURO Y ROBUSTO
! Only if NGOAM is not required and impact is approved
configure terminal
no feature ngoam
end
! Verify status with: show feature | include ngoam

Lista de Verificación de Seguridad para Ingeniería

Fuentes