Cisco NX-OS: Unzureichende Neutralisierung (Injection) im Hardening-Release

Zusammenfassung

Die Cisco-NX-OS-Software auf Nexus-3000-, 7000- und 9000-Switches (Standalone- und ACI-Modus), MDS-9000-Switches sowie UCS Fabric Interconnects enthält Schwachstellen durch unzureichende Neutralisierung (CWE-707, umfasst Command-, OS- und Argument-Injection). Cisco hat sie in einer internen Sicherheitsprüfung gefunden und stuft die CVE mit CVSS 8.8 (hoch) ein. Gemäss CVSS-Vektor benötigt ein Angreifer Netzwerkzugriff und niedrige Berechtigungen ohne Benutzerinteraktion und könnte Vertraulichkeit, Integrität und Verfügbarkeit beeinträchtigen. Cisco meldet keine bekannte Ausnutzung und keine Workarounds.

Betroffen

• Cisco-NX-OS-Releases, die in der Tabelle Fixed Releases des Cisco-Advisories als verwundbar aufgeführt sind, unabhängig von der Gerätekonfiguration.
• Nexus 3000 und Standalone-Nexus-9000 (NX-OS-Modus): Releases 10.3 und älter sowie die Trains 10.4, 10.5 und 10.6 vor den unten genannten Fixed Releases.
• MDS 9000: 9.3 und älter.
• Nexus 7000: 8.3 und älter.
• Nexus 9000 im ACI-Modus: Releases 16.0 bis 16.2 vor den unten genannten Fixed Releases.
• UCS-6300-, 6400-, 6500-, 6600- und 9108-100G-Fabric-Interconnects: 4.2 und älter sowie 6.0-Releases vor den unten genannten Fixed Releases.
• Die Versionsangaben im CVE-Datensatz und in Drittquellen weichen vom Cisco-Advisory ab; das Advisory ist massgebend.

Behoben in

• MDS 9000: 9.4(5a)
• Nexus 3000 und Standalone-Nexus-9000: 10.3(10), 10.4(8), 10.5(6), 10.6(4)
• Nexus 7000: 8.4(14)
• Nexus 9000 im ACI-Modus: 16.0(9h), 16.1(6g), 16.2(3g)
• UCS Fabric Interconnects (UCS Manager): 4.3(6j), 6.0(2e)
• UCS Fabric Interconnects (Intersight Managed Mode): 4.3(6.260049), 4.3(6.260059) nur für 9108 100G, 6.0(2.260080)
• Die Tabelle Fixed Software im Cisco-Advisory bestätigt das Release für jede Plattform.

Umgehung

Keine Workarounds verfügbar. Cisco gibt an, dass Patching die einzige Gegenmassnahme ist.

Ausnutzung

• Das Cisco PSIRT ist keine öffentlichen Ankündigungen oder missbräuchliche Nutzung bekannt.
• Cisco-CISA-SSVC-Bewertung: Ausnutzung keine, nicht automatisierbar, totale technische Auswirkung.
• Eintrag im CISA-KEV-Katalog und öffentlicher Proof-of-Concept-Code: nicht verifiziert.

Unsere Empfehlung

• Alle NX-OS-Geräte inventarisieren (Modell, NX-OS-Release und ob der ACI-Modus verwendet wird).
• Updates auf die Fixed Releases der Cisco-Advisory-Tabelle für jede Plattform planen.
• Management-Zugriff auf vertrauenswürdige Administrationsnetze beschränken und Konten mit Login-Berechtigung einschränken.
• Konten prüfen und bis zum Patch auf unerwartete Konfigurationsänderungen überwachen.
• Falls NX-API aktiviert ist, zuerst die separate kritische NX-API-Schwachstelle CVE-2026-76471 aus demselben Paket prüfen.
• KEV- und Exploit-Quellen vor der nächsten Überprüfung erneut kontrollieren.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Cisco Security Advisory cisco-sa-hardening-nxosw1-cWzSbtR sec.cloudapps.cisco.com
• Cisco Security Advisory (cisco.com copy) www.cisco.com
• OpenCVE entry CVE-2026-76453 app.opencve.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 21:20.