FlawOpen

flawopen.com/Teardowns/cve-2026-76485-cisco-nexus-ngoam-rce

● CVE-2026-76485 · CVSS 9.8 · Crítica
Pesquisa · FlawOpen

CVE-2026-76485: execução remota no NGOAM do Cisco Nexus

CVE-2026-76485 afeta switches Cisco Nexus 3000 e 9000 em modo NX-OS standalone quando o NGOAM está habilitado. Verifique o recurso, avalie o impacto antes de desativá-lo e consulte o Cisco Software Checker para encontrar a correção da plataforma e versão instaladas.[1], [2]

Vetor CVSSCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
💡 Explicação em Linguagem Simples (ELI5)

Pense em um recurso do switch como uma porta de serviço adicional em um prédio protegido. Quando o NGOAM está habilitado, a Cisco informa que tráfego de rede malformado pode alcançar uma falha no tratamento de entrada por essa porta. Primeiro verifique se ela está aberta; fechá-la pode interromper operações da rede, então desative o recurso apenas se sua arquitetura não precisar dele e o impacto estiver aprovado.[1]

Conceitos Centrais e Termos

NGOAM
NGOAM (Next Generation OAM): recurso de operações e manutenção de rede dos switches Nexus.[1]
NX-OS standalone
Modo de operação NX-OS coberto pelo aviso; Nexus 9000 em modo ACI está listado como não afetado.[1]
Primeira versão corrigida
Primeira versão Cisco que corrige o aviso para o produto, plataforma e ramificação selecionados.[2]

Mapeamentos de frameworks

  • Referência CWE para a fraqueza descrita neste guia: CWE-121

Análise de Causa Raiz

A Cisco atribui o CVE-2026-76485 à validação inadequada de tráfego IP quando o Next Generation OAM (NGOAM) está habilitado em switches Cisco Nexus 3000 ou 9000 no modo NX-OS standalone. A Cisco descreve pacotes malformados enviados a uma interface IP como caminho de ataque e classifica a falha como CVSS 3.1 9.8 Critical, CWE-121. Um ataque bem-sucedido pode executar código com privilégios de root ou causar negação de serviço. A Cisco informa que a falha foi encontrada em testes internos e que, na publicação do aviso em 07/10/2026, o PSIRT não conhecia anúncios públicos nem uso malicioso. A Cisco não publica o código vulnerável nem um diff; a configuração abaixo é uma verificação de exposição e mitigação condicional, não uma reconstrução em nível de código. O mesmo aviso cobre CVE-2026-76486 e CVE-2026-76501, mas eles têm pré-requisitos adicionais de SRv6 ou NV Overlay; não atribua essas condições ao CVE-2026-76485.[1]

Aplicabilidade e correção da CVE-2026-76485

Plataforma / estadoO que diz o avisoDecisão do operador
Nexus 3000/9000, NX-OS standalone, NGOAM habilitadoEsta é a configuração afetada documentada.Registre show feature | include ngoam, avalie a exposição e atualize para a versão indicada para esta plataforma exata.
NX-OS standalone, NGOAM desabilitadoO pré-requisito de configuração NGOAM não está presente; desabilitar o recurso é mitigação temporária apenas quando ele não é necessário.Não trate o estado do recurso como correção de software. Avalie o impacto operacional e ainda planeje a atualização aplicável.
Nexus 9000 no modo ACIA Cisco confirma que este modo não é afetado por este aviso.Registre o modo; não aplique a descrição de exposição do NX-OS standalone.
Seleção da versão corrigidaO aviso não define uma versão NX-OS universal; a primeira versão corrigida depende do produto, da plataforma e da versão instalada.Use o Cisco Software Checker para obter a versão corrigida específica do dispositivo.
CVE-2026-76486 / CVE-2026-76501 relacionadasEssas falhas relacionadas têm pré-requisitos adicionais de SRv6 ou NV Overlay.Avalie cada CVE segundo seus próprios recursos; não deduza a exposição delas por esta linha.

Fluxo de Ataque Passo a Paso

Passo 1

Confirme plataforma e modo

Confirme se o equipamento é Nexus 3000 ou 9000 executando NX-OS standalone. A Cisco informa que Nexus 9000 em modo ACI e outros produtos listados não são afetados por este aviso.[1]

Passo 2

Verifique o NGOAM

Execute show feature | include ngoam. NGOAM habilitado satisfaz o pré-requisito de configuração do CVE-2026-76485; este comando verifica a configuração local, não testa a exploração.[1]

Passo 3

Delimite a exposição

A falha é descrita como explorável sem autenticação e alcançável pela rede por meio de tráfego IP malformado enviado a uma interface. A Cisco não publica detalhes dos pacotes nem uma cadeia de chamadas do código; não presuma um parser ou layout de memória específico.[1]

Passo 4

Escolha mitigação ou atualização

Se o NGOAM não for necessário, a Cisco diz que no feature ngoam remove o vetor de ataque das três falhas, mas alerta que a mudança pode afetar a rede. Caso contrário, use o Cisco Software Checker com a plataforma e versão exatas e atualize para a primeira versão corrigida.[1], [2]

Código-Fonte: Vulnerável vs. Seguro

A Cisco recomenda desativar NGOAM somente quando o recurso não é necessário; avalie o impacto no serviço antes de aplicar. O comando é uma mitigação documentada pelo fornecedor e não substitui a versão corrigida. O painel vulnerável representa o estado do recurso habilitado, não código-fonte.[1]

Trecho de origem: Estado ilustrativo da configuração do operador; não é código-fonte da Cisco

IMPLEMENTAÇÃO VULNERÁVEL
! Illustrative exposed configuration state, not vulnerable source code
feature ngoam
! Confirm status with: show feature | include ngoam
PATCH SEGURO E ROBUSTO
! Only if NGOAM is not required and impact is approved
configure terminal
no feature ngoam
end
! Verify status with: show feature | include ngoam

Lista de Verificação de Segurança para Engenharia

Fontes