Cisco NX-OS: Remote Code Execution in VXLAN-OAM (NGOAM)

Zusammenfassung

Eine Schwachstelle im Feature NGOAM (Next Generation Operation, Administration and Maintenance) von Cisco NX-OS auf Switches der Serien Nexus 3000 und 9000 betrifft die unzureichende Validierung von IP-Verkehr. Ein nicht authentifizierter Angreifer aus dem Netzwerk kann durch gezielt manipulierte Pakete an eine IP-Schnittstelle eines betroffenen Switches Code mit Root-Rechten ausführen oder Prozesse zum Absturz bringen, was einen Neustart und einen Denial of Service auslöst. Voraussetzung ist, dass NGOAM zusammen mit SRv6 oder NV Overlay aktiviert ist; betroffen ist nur der Standalone-NX-OS-Modus.

Betroffen

• Switches Cisco Nexus 3000 und 9000 Series im Standalone-NX-OS-Modus
• Nur wenn NGOAM aktiviert ist und entweder SRv6 oder NV Overlay aktiviert ist (NV Overlay setzt zusätzlich ein VXLAN-EVPN-VNI voraus, das einer NVE-Schnittstelle mit mindestens einem gelernten Peer-VTEP zugeordnet ist)
• Im Advisory aufgeführte betroffene Versionen umfassen 9.3(3) bis 10.3(1); vollständige Liste im Cisco Software Checker prüfen
• Nicht betroffen: Nexus 7000, Nexus 9000 im ACI-Modus sowie weitere im Advisory aufgeführte Cisco-Produkte

Behoben in

Unbekannt. Cisco hat Software-Updates veröffentlicht; die korrigierte Version für Ihren Release-Zweig ermitteln Sie mit dem Cisco Software Checker.

Umgehung

• NGOAM deaktivieren, falls es nicht benötigt wird (no feature ngoam im globalen Konfigurationsmodus); Cisco nennt dies als Massnahme
• Cisco hat Live-Protect-Shields als temporäre Massnahme angeboten
• Eingehenden IP-Verkehr zu den Switch-Schnittstellen mit ACLs einschränken (Empfehlung Dritter)
• Hinweis: Das Advisory nennt im Kopfbereich keine Workarounds; die genannten Massnahmen sind temporär

Ausnutzung

• Das Cisco PSIRT kennt keine öffentlichen Ankündigungen oder böswillige Nutzung
• CISA SSVC: Exploitation none, Automatable yes, Technical Impact total
• Kein öffentlicher Proof-of-Concept in den geprüften Quellen gefunden; laut einer Quelle nicht in der KEV-Liste

Unsere Empfehlung

• Prüfen, ob NGOAM aktiviert ist (show feature | include ngoam) und ob SRv6 oder NV Overlay verwendet wird
• Falls NGOAM nicht benötigt wird, deaktivieren und den Zugriff auf die IP-Schnittstellen der Switches einschränken
• Betroffene Versionen mit dem Cisco Software Checker ermitteln und die Switches patchen
• Ungewöhnlichen Verkehr zu den Switch-Schnittstellen und Neustarts überwachen

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Cisco Security Advisory cisco-sa-ngoam-rce-LWKQ4BU sec.cloudapps.cisco.com
• OpenCVE CVE-2026-76486 app.opencve.io
• VulDB 415091 vuldb.com
• Strix CVE-2026-76486 www.strix.ai
• TheHackerWire CVE-2026-76486 www.thehackerwire.com
• BleepingComputer: Cisco warns of critical flaws allowing Nexus switch takeover www.bleepingcomputer.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 20:42.