FlawOpen

flawopen.com/Teardowns/cve-2026-76485-cisco-nexus-ngoam-rce

● CVE-2026-76485 · CVSS 9.8 · 严重
安全研究 · FlawOpen

CVE-2026-76485：Cisco Nexus NGOAM 远程代码执行

CVE-2026-76485 影响启用了 NGOAM 的 Cisco Nexus 3000 和 9000 独立 NX-OS 模式交换机。检查功能状态，停用前评估业务影响，并使用 Cisco Software Checker 查找适用于具体平台和分支的修复版本。[1], [2]

CVSS 向量CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
💡 通俗易懂的原理解析 (ELI5)

可以把交换机功能想成安全建筑里额外的一扇服务门。Cisco 表示，启用 NGOAM 时，格式异常的网络流量可能通过这扇门到达有缺陷的输入处理逻辑。先检查这扇门是否开启；关闭它可能影响网络运行，因此只有在设计不需要该功能且影响已获批准时才停用。[1]

核心概念与专有名词

NGOAM
NGOAM（Next Generation OAM）：Nexus 交换机上的网络运行与维护功能。[1]
独立 NX-OS
本公告涉及的 NX-OS 运行模式；公告列明 ACI 模式 Nexus 9000 不受影响。[1]
首个修复版本
针对所选产品、平台和分支修复此公告问题的最早 Cisco 版本。[2]

框架映射

  • 本指南所述弱点的 CWE 参考： CWE-121

根本原因剖析 (Root Cause)

Cisco 将 CVE-2026-76485 归因于启用 Next Generation OAM（NGOAM）时对 IP 流量验证不充分，受影响设备为运行独立 NX-OS 模式的 Cisco Nexus 3000 或 9000。Cisco 将发送到 IP 接口的特制数据包描述为攻击路径，评分为 CVSS 3.1 9.8 Critical，CWE-121。成功攻击可能以 root 权限执行代码或造成拒绝服务。Cisco 表示该问题是在内部安全测试中发现的；截至 2026-10-07 公告发布时，PSIRT 未获悉公开披露或恶意利用。Cisco 未发布易受攻击的源代码或补丁差异；以下配置是暴露检查和有条件的缓解措施，不是代码级重建。同一公告还涉及 CVE-2026-76486 和 CVE-2026-76501，但后两者另有 SRv6 或 NV Overlay 前置条件；不要将这些条件套用于 CVE-2026-76485。[1]

CVE-2026-76485 适用范围与修复

平台 / 状态公告说明运维决策
Nexus 3000/9000、standalone NX-OS、NGOAM 已启用这是公告记录的受影响配置。记录 show feature | include ngoam 输出，评估暴露情况，并升级到针对该确切平台选定的版本。
standalone NX-OS、NGOAM 已禁用NGOAM 配置前提不成立；仅在不需要该功能时，禁用它才是临时缓解措施。不要把功能状态当作软件修复。评估运行影响，并仍需规划适用的升级。
Nexus 9000 运行 ACI 模式Cisco 确认此模式不受本公告影响。记录运行模式；不要将 standalone NX-OS 的暴露说明套用到此模式。
选择修复版本公告未指定通用 NX-OS 修复版本；首个修复版本取决于确切产品、平台和已安装版本。使用 Cisco Software Checker 查询设备对应的修复版本。
相关 CVE-2026-76486 / CVE-2026-76501这些相关漏洞还需要满足 SRv6 或 NV Overlay 的额外条件。按每个 CVE 自身的功能条件分别评估；不要从此行推断其暴露情况。

攻击执行流程分解

步骤 1

确认平台与运行模式

确认设备是运行独立 NX-OS 的 Nexus 3000 或 9000。Cisco 表示，处于 ACI 模式的 Nexus 9000 及公告中列出的其他产品不受此公告影响。[1]

步骤 2

检查 NGOAM 状态

运行 show feature | include ngoam。若 NGOAM 已启用，则满足 CVE-2026-76485 的配置前提；该命令只检查本地配置，不是漏洞利用测试。[1]

步骤 3

界定暴露范围

该问题被描述为可通过网络、无需身份验证，利用发往接口的特制 IP 流量触发。Cisco 未公开数据包细节或源代码调用链，因此不要推断具体解析器或内存布局。[1]

步骤 4

选择缓解措施或升级

如果不需要 NGOAM，Cisco 表示 no feature ngoam 可移除三个漏洞的攻击路径，但可能影响网络功能。否则使用 Cisco Software Checker 输入准确平台和已安装版本，再升级到首个修复版本。[1], [2]

源代码对比：漏洞与安全实现

Cisco 建议仅在不需要 NGOAM 时才停用该功能；应用前先评估对服务的影响。此命令是供应商记录的缓解措施，不能替代修复版本。易受攻击面板展示的是功能启用状态，不是源代码。[1]

源码摘录: 示例运维配置状态；并非 Cisco 源代码

存在漏洞的实现
! Illustrative exposed configuration state, not vulnerable source code
feature ngoam
! Confirm status with: show feature | include ngoam
加固后的安全修复
! Only if NGOAM is not required and impact is approved
configure terminal
no feature ngoam
end
! Verify status with: show feature | include ngoam

工程与系统安全加固清单

参考来源