FlawOpen

flawopen.com/Teardowns/cve-2026-76485-cisco-nexus-ngoam-rce

● CVE-2026-76485 · CVSS 9.8 · 심각
보안 연구 · FlawOpen

CVE-2026-76485: Cisco Nexus NGOAM 원격 코드 실행

CVE-2026-76485는 NGOAM이 활성화된 독립형 NX-OS 모드의 Cisco Nexus 3000 및 9000 스위치에 영향을 줍니다. 기능 상태를 확인하고 비활성화 전 운영 영향을 평가한 뒤, Cisco Software Checker에서 플랫폼과 릴리스 브랜치에 맞는 수정 버전을 찾으세요.[1], [2]

CVSS 벡터CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
💡 알기 쉬운 설명 (ELI5)

스위치 기능을 보안 건물의 추가 서비스 출입문이라고 생각해 보세요. NGOAM이 활성화되면 Cisco 설명에 따라 잘못된 네트워크 트래픽이 그 문을 거쳐 입력 처리 취약점에 도달할 수 있습니다. 먼저 문이 열려 있는지 확인하세요. 문을 닫으면 네트워크 운영에 영향이 생길 수 있으므로 설계상 필요하지 않고 영향이 승인된 경우에만 기능을 비활성화하세요.[1]

핵심 개념 및 용어

NGOAM
NGOAM(Next Generation OAM): Nexus 스위치의 네트워크 운영 및 유지보수 기능.[1]
독립형 NX-OS
이 권고문이 대상으로 하는 NX-OS 운영 모드이며 ACI 모드 Nexus 9000은 비영향으로 나열됩니다.[1]
최초 수정 릴리스
선택한 제품, 플랫폼, 브랜치에서 권고문 문제를 해결하는 가장 이른 Cisco 릴리스.[2]

프레임워크 매핑

  • 이 가이드에서 설명하는 약점의 CWE 참조: CWE-121

근본 원인 분석 (Root Cause)

Cisco는 CVE-2026-76485를 독립형 NX-OS 모드의 Cisco Nexus 3000 또는 9000에서 Next Generation OAM(NGOAM)이 활성화된 경우 IP 트래픽 검증이 부적절한 문제로 설명합니다. Cisco는 IP 인터페이스로 전송되는 조작된 패킷을 공격 경로로 제시하고 CVSS 3.1 9.8 Critical, CWE-121로 평가합니다. 공격에 성공하면 root 권한 코드 실행이나 서비스 거부가 발생할 수 있습니다. Cisco에 따르면 이 문제는 내부 보안 테스트에서 발견되었으며, 2026-10-07 권고문 공개 당시 PSIRT는 공개 발표나 악의적 사용을 알지 못했습니다. Cisco는 취약한 소스 코드나 패치 diff를 공개하지 않습니다. 아래 설정은 노출 확인과 조건부 완화책이며 코드 재구성이 아닙니다. 같은 권고문은 CVE-2026-76486 및 CVE-2026-76501도 다루지만 추가 SRv6 또는 NV Overlay 조건이 있습니다. 이 조건을 CVE-2026-76485에 적용하지 마세요.[1]

CVE-2026-76485 적용 범위 및 해결 방법

플랫폼 / 상태권고문 내용운영자 판단
Nexus 3000/9000, standalone NX-OS, NGOAM 활성화문서화된 영향 구성입니다.show feature | include ngoam 출력을 기록하고 노출을 평가한 뒤 정확한 플랫폼에 맞는 릴리스로 업그레이드하세요.
standalone NX-OS, NGOAM 비활성화NGOAM 구성 전제 조건이 없습니다. 기능이 필요하지 않을 때만 비활성화가 임시 완화책이 됩니다.기능 상태를 소프트웨어 수정으로 간주하지 마세요. 운영 영향을 평가하고 해당 업그레이드도 계획하세요.
ACI 모드의 Nexus 9000Cisco는 이 모드가 본 권고의 영향을 받지 않는다고 확인했습니다.모드를 기록하고 standalone NX-OS의 노출 설명을 적용하지 마세요.
수정 릴리스 선택권고문에는 보편적인 NX-OS 수정 버전이 없습니다. 최초 수정 릴리스는 정확한 제품, 플랫폼, 설치 릴리스에 따라 달라집니다.Cisco Software Checker에서 장치별 수정 릴리스를 확인하세요.
관련 CVE-2026-76486 / CVE-2026-76501관련 취약점에는 SRv6 또는 NV Overlay의 추가 전제 조건이 있습니다.각 CVE를 고유한 기능 조건에 따라 평가하고 이 행에서 노출 여부를 추론하지 마세요.

단계별 공격 실행 흐름

단계 1

플랫폼과 모드 확인

장비가 독립형 NX-OS 모드의 Nexus 3000 또는 9000인지 확인하세요. Cisco는 ACI 모드 Nexus 9000 및 권고문에 나열된 다른 제품은 영향을 받지 않는다고 설명합니다.[1]

단계 2

NGOAM 상태 확인

show feature | include ngoam을 실행하세요. NGOAM이 활성화되어 있으면 CVE-2026-76485의 구성 전제 조건을 충족합니다. 이 명령은 로컬 설정 확인이며 공격 테스트가 아닙니다.[1]

단계 3

노출 범위 판단

Cisco는 인증 없이 네트워크를 통해 인터페이스로 전달되는 조작된 IP 트래픽을 통한 접근을 설명합니다. 패킷 세부사항과 소스 호출 경로는 공개되지 않았으므로 특정 파서나 메모리 구조를 추정하지 마세요.[1]

단계 4

완화 또는 업그레이드 선택

NGOAM이 필요하지 않다면 Cisco는 no feature ngoam으로 세 취약점의 공격 경로를 제거할 수 있다고 설명하지만 네트워크 기능에 영향이 있을 수 있습니다. 그렇지 않으면 정확한 플랫폼과 설치 릴리스를 Cisco Software Checker에 입력해 첫 수정 릴리스로 업그레이드하세요.[1], [2]

소스 코드 비교: 취약한 구현 vs 보안 패치

Cisco는 NGOAM이 필요하지 않은 경우에만 비활성화를 권고합니다. 적용 전에 서비스 영향을 평가하세요. 이 명령은 공급업체가 문서화한 완화책이며 수정 릴리스를 대신하지 않습니다. 취약 패널은 기능이 활성화된 상태를 보여주며 소스 코드가 아닙니다.[1]

소스 코드 발췌: 운영 구성 상태 예시이며 Cisco 소스 코드가 아님

취약한 구현
! Illustrative exposed configuration state, not vulnerable source code
feature ngoam
! Confirm status with: show feature | include ngoam
보안 강화 패치
! Only if NGOAM is not required and impact is approved
configure terminal
no feature ngoam
end
! Verify status with: show feature | include ngoam

엔지니어링 및 시스템 보안 강화 체크리스트

출처