Cisco NX-OS: Remote Code Execution in VXLAN OAM (NGOAM)

Zusammenfassung

Eine Schwachstelle in der VXLAN-OAM-Funktion (NGOAM) von Cisco NX-OS auf Nexus-3000- und 9000-Series-Switches im Standalone-Modus erlaubt einem nicht authentifizierten Angreifer aus der Ferne, beliebigen Code mit Root-Rechten auszuführen oder den Prozess zum Absturz zu bringen und das Gerät neu zu starten. Der Angreifer muss lediglich manipulierte IP-Pakete an eine Schnittstelle des Switches senden, und die Lücke ist nur ausnutzbar, wenn NGOAM aktiviert ist. Cisco stuft das Problem als kritisch ein (CVSS 9.8).

Betroffen

• Cisco Nexus 3000 und 9000 Series Switches im Standalone-NX-OS-Modus mit aktiviertem NGOAM
• Im CVE-Eintrag aufgeführte Versionen: 9.2(1), 9.2(2), 9.2(2t), 9.2(2v), 9.2(3), 9.2(3y), 9.2(4), 9.3(1), 9.3(1z), 9.3(2), 9.3(3), 9.3(4)
• Nexus-9000-Switches im ACI-Modus sind nicht betroffen
• Die betroffenen Versionen sind im Cisco-Advisory zu prüfen, da die Liste unvollständig sein kann

Behoben in

Unbekannt. Cisco hat Software-Updates veröffentlicht, die erste korrigierte Version je Plattform war in den Quellen jedoch nicht verfügbar. Die korrigierte Version ist über den Cisco Software Checker zu ermitteln.

Umgehung

• Cisco gibt an, dass keine Workarounds verfügbar sind.
• Cisco hat Live-Protect-Shields als temporäre Massnahmen veröffentlicht.
• Sekundäre Quellen geben an, dass die Deaktivierung von NGOAM (no feature ngoam) den Angriffsvektor entfernt. Dies ist von Cisco nicht bestätigt und muss zuerst in einer Testumgebung geprüft werden.

Ausnutzung

• Das Cisco PSIRT kennt keine öffentlichen Ankündigungen oder missbräuchliche Nutzung.
• CISA SSVC: Exploitation none, Automatable yes, Technical Impact total.
• Es wurde kein öffentlicher Proof of Concept gefunden; dies ist unbekannt und nicht als nicht vorhanden bestätigt.
• Laut den geprüften Quellen ist die Schwachstelle nicht im CISA-KEV-Katalog aufgeführt.

Unsere Empfehlung

• Den Befehl 'show feature | include ngoam' auf allen Nexus-3000- und Standalone-9000-Switches ausführen.
• Falls NGOAM aktiviert und nicht benötigt wird, es nach Prüfung der betrieblichen Auswirkungen deaktivieren.
• Live-Protect-Shields bis zur Installation des Patches aktiv lassen.
• Die korrigierte Version je Plattform im Cisco Software Checker ermitteln und das Upgrade planen.
• Den Zugriff auf die IP-Schnittstellen des Switches auf vertrauenswürdige Netzsegmente beschränken.
• Auf unerwartete Abstürze von OAM-Prozessen oder ungeplante Neustarts achten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Cisco Security Advisory cisco-sa-ngoam-rce-LWKQ4BU sec.cloudapps.cisco.com
• The Hacker Wire: CVE-2026-76485 Cisco NX-OS NGOAM www.thehackerwire.com
• Forkast: Cisco NX-OS NGOAM unauthenticated root RCEs forkast.news
• Strix: CVE-2026-76485 www.strix.ai
• OpenCVE: CVE-2026-76485 app.opencve.io
• Securityonline: Cisco Nexus vulnerabilities OAM RCE securityonline.info

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 20:41.