FlawOpen

flawopen.com/Teardowns/cve-2026-76485-cisco-nexus-ngoam-rce

● CVE-2026-76485 · CVSS 9.8 · Критический
Исследования · FlawOpen

CVE-2026-76485: удалённое выполнение кода в NGOAM Cisco Nexus

CVE-2026-76485 затрагивает коммутаторы Cisco Nexus 3000 и 9000 в автономном режиме NX-OS при включённом NGOAM. Проверьте состояние функции, оцените влияние перед её отключением и найдите исправленную версию для платформы и ветки через Cisco Software Checker.[1], [2]

Вектор CVSSCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
💡 Простыми словами (ELI5)

Представьте функцию коммутатора как дополнительную служебную дверь в охраняемом здании. По данным Cisco, при включённом NGOAM некорректный сетевой трафик может пройти через эту дверь к уязвимой обработке входных данных. Сначала проверьте, открыта ли дверь. Её закрытие может нарушить работу сети, поэтому отключайте функцию только если она не нужна вашей архитектуре и последствия согласованы.[1]

Ключевые понятия и термины

NGOAM
NGOAM (Next Generation OAM): функция эксплуатации и обслуживания сети на коммутаторах Nexus.[1]
Автономный NX-OS
Режим NX-OS, охваченный бюллетенем; Nexus 9000 в режиме ACI указан как незатронутый.[1]
Первый исправленный выпуск
Самая ранняя версия Cisco, устраняющая проблему для выбранных продукта, платформы и ветки.[2]

Связи со стандартами

  • Ссылка CWE для слабого места, описанного в этом руководстве: CWE-121

Анализ первопричины

Cisco связывает CVE-2026-76485 с некорректной проверкой IP-трафика при включённом Next Generation OAM (NGOAM) на Cisco Nexus 3000 или 9000 в автономном режиме NX-OS. В качестве пути атаки Cisco указывает специально сформированные пакеты на IP-интерфейс и присваивает оценку CVSS 3.1 9.8 Critical, CWE-121. Успешная атака может привести к выполнению кода с правами root или отказу в обслуживании. Cisco сообщает, что обнаружила проблему во время внутреннего тестирования; на момент публикации бюллетеня 07.10.2026 PSIRT не было известно о публичных сообщениях или вредоносном использовании. Cisco не публикует уязвимый исходный код или diff; приведённая конфигурация — проверка экспозиции и условная мера защиты, а не реконструкция кода. Тот же бюллетень охватывает CVE-2026-76486 и CVE-2026-76501 с дополнительными условиями SRv6 или NV Overlay; не переносите их на CVE-2026-76485.[1]

Применимость и устранение CVE-2026-76485

Платформа / состояниеЧто указано в уведомленииРешение оператора
Nexus 3000/9000, NX-OS standalone, NGOAM включёнЭто задокументированная уязвимая конфигурация.Сохраните вывод show feature | include ngoam, оцените риск и обновитесь до версии, выбранной для этой платформы.
NX-OS standalone, NGOAM выключенКонфигурационное условие NGOAM отсутствует; отключение — временная мера только если функция не нужна.Не считайте состояние функции программным исправлением. Оцените влияние и всё равно запланируйте подходящее обновление.
Nexus 9000 в режиме ACICisco подтверждает, что этот режим не затронут данным уведомлением.Зафиксируйте режим; не переносите на него описание уязвимости standalone NX-OS.
Выбор исправленной версииВ уведомлении нет универсальной версии NX-OS; первая исправленная версия зависит от точного продукта, платформы и установленного релиза.Используйте Cisco Software Checker, чтобы определить исправленную версию для конкретного устройства.
Связанные CVE-2026-76486 / CVE-2026-76501Для этих связанных уязвимостей требуются дополнительные условия SRv6 или NV Overlay.Проверяйте каждую CVE по её собственным условиям; не выводите применимость из этой строки.

Пошаговый сценарий атаки

Шаг 1

Проверьте платформу и режим

Убедитесь, что устройство — Nexus 3000 или 9000 с автономным NX-OS. По данным Cisco, Nexus 9000 в режиме ACI и другие перечисленные продукты этим бюллетенем не затронуты.[1]

Шаг 2

Проверьте NGOAM

Выполните show feature | include ngoam. Если NGOAM включён, выполнено условие конфигурации CVE-2026-76485; команда проверяет локальную конфигурацию, а не эксплуатацию.[1]

Шаг 3

Определите границы воздействия

Cisco описывает уязвимость как доступную по сети без аутентификации через специально сформированный IP-трафик к интерфейсу. Детали пакетов и последовательность вызовов в исходном коде не опубликованы; не делайте выводов о конкретном парсере или раскладке памяти.[1]

Шаг 4

Выберите меру защиты или обновление

Если NGOAM не нужен, Cisco указывает, что no feature ngoam устраняет вектор атаки для всех трёх ошибок, но может повлиять на сеть. В противном случае используйте Cisco Software Checker с точными платформой и версией, затем установите первый исправленный выпуск.[1], [2]

Исходный код: Уязвимый vs Защищённый вариант

Cisco рекомендует отключать NGOAM только если функция не нужна; до применения оцените влияние на работу сервиса. Команда является документированной мерой Cisco, но не заменяет исправленную версию ПО. Уязвимая панель показывает включённое состояние функции, а не исходный код.[1]

Фрагмент исходного кода: Пример состояния конфигурации; это не исходный код Cisco

УЯЗВИМАЯ РЕАЛИЗАЦИЯ
! Illustrative exposed configuration state, not vulnerable source code
feature ngoam
! Confirm status with: show feature | include ngoam
БЕЗОПАСНЫЙ ИСПРАВЛЕННЫЙ ВАРИАНТ
! Only if NGOAM is not required and impact is approved
configure terminal
no feature ngoam
end
! Verify status with: show feature | include ngoam

Чек-лист по защите системы для инженеров

Источники