Cisco NX-OS: Remote Code Execution in MPLS OAM

Zusammenfassung

Eine Schwachstelle im Feature MPLS Operations, Administration and Maintenance (OAM) von Cisco NX-OS auf Switches der Serien Nexus 3000 und 9000 erlaubt eine unzureichende Prüfung von MPLS-Echo-Request-Paketen. Ein nicht authentifizierter Angreifer aus dem Netzwerk kann ein präpariertes Paket an eine IP-Adresse des Geräts senden und so beliebigen Code mit Root-Rechten ausführen oder durch Prozessabstürze und Neustarts einen Denial-of-Service auslösen. Die Schwachstelle betrifft nur Geräte, auf denen MPLS OAM aktiviert ist, was standardmässig nicht der Fall ist.

Betroffen

• Cisco Nexus 3000 Series Switches mit einer verwundbaren NX-OS-Version und aktiviertem MPLS OAM
• Cisco Nexus 9000 Series Switches im Standalone-NX-OS-Modus mit einer verwundbaren Version und aktiviertem MPLS OAM
• Nicht betroffen: Nexus 9000 Switches mit Silicon-One-ASIC (Feature kann nicht aktiviert werden), Nexus 7000 und Nexus 9000 im ACI-Modus
• Liste der betroffenen Versionen: Unbekannt. In Ciscos Software Checker prüfen.

Behoben in

Unbekannt. Cisco hat Software-Updates veröffentlicht, im abgerufenen Advisory-Text sind die Versionsnummern der Fixes jedoch nicht aufgeführt. Die erste korrigierte Version je Release-Linie mit Ciscos Software Checker ermitteln.

Umgehung

• Laut Cisco gibt es keinen Workaround, der die Schwachstelle vollständig behebt.
• Status prüfen: show feature | include mpls_oam
• Feature bei Nichtbedarf deaktivieren: no feature mpls oam (im Global Configuration Mode)
• Cisco hat einen temporären Live Protect Shield für NX-OS veröffentlicht; dieser ist kein Fix.

Ausnutzung

• Das Cisco PSIRT kennt keine öffentlichen Ankündigungen oder missbräuchliche Nutzung.
• CISA-SSVC-Bewertung: Ausnutzung keine, automatisierbar ja, technische Auswirkung total.
• Zum Zeitpunkt der Recherche wurde kein öffentlicher Proof of Concept gefunden; soweit geprüft, nicht im CISA-KEV-Katalog.

Unsere Empfehlung

• Prüfen, ob Nexus 3000 oder 9000 Switches mit Standalone-NX-OS im Einsatz sind und ob mpls_oam aktiviert ist.
• Falls MPLS OAM nicht benötigt wird, sofort no feature mpls oam ausführen.
• Fixed-Versionen mit Ciscos Software Checker ermitteln und das Update planen.
• Zugriff auf Management- und Control-Plane-Schnittstellen der Switches aus unvertrauenswürdigen Netzen einschränken.
• Auf ungewöhnlichen MPLS-Echo-Verkehr und unerwartete Neustarts der Geräte achten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Cisco Security Advisory cisco-sa-moam-rce-uBTzYV7 sec.cloudapps.cisco.com
• BleepingComputer: Cisco warns of critical flaws allowing Nexus switch takeover www.bleepingcomputer.com
• Cisco Security Advisory notice cisco-sa-notice-fBn58ELx sec.cloudapps.cisco.com
• Aviatrix: Cisco Nexus switch takeover vulnerabilities 2026 aviatrix.ai
• Cyber-Defence: CVE-2026-76465 www.cyber-defence.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 20:45.