Cisco Nexus-sårbarheder kan give root-adgang til switche

Fem kritiske Cisco Nexus-sårbarheder kan gøre det muligt for angribere at køre kode med root-rettigheder på berørte datacenterswitche. Cisco har udgivet sikkerhedsopdateringer for at rette sårbarhederne i operativsystemet NX-OS.

Angribere kan også få processer til at gå ned og udløse genstarter af enheder, hvilket kan forstyrre netværkstjenester, selv når forsøg på at køre kode mislykkes.

Eksponeringen afhænger dog af enhedens konfiguration. Sårbarhederne påvirker visse Nexus 3000- og Nexus 9000-switche, der kører selvstændigt NX-OS med specifikke netværksfunktioner aktiveret.

Hvilke funktioner eksponerer Nexus-switche?

De fem sårbarheder involverer valideringsfejl i NX-API, Next Generation OAM (NGOAM) og MPLS OAM. Hver sårbarhed kræver, at den tilsvarende funktion er aktiv.

Sårbarhederne omfatter:

• CVE-2026-76471: Utilstrækkelig validering af input i NX-API kan muliggøre udnyttelse gennem en særligt udformet HTTP-anmodning. NX-API er deaktiveret som standard.
• CVE-2026-76485, CVE-2026-76486 og CVE-2026-76501: Forkert validering af IP-trafik kan muliggøre udnyttelse gennem manipulerede pakker. Alle tre kræver NGOAM.
• CVE-2026-76465: Forkert validering af MPLS echo-request-pakker kan muliggøre udnyttelse gennem en manipuleret anmodning rettet mod enhedens IP-adresse.

Derfor skal administratorer kontrollere både NX-OS-versionen og de funktioner, der er aktiveret på hver switch.

Yderligere konfigurationskrav begrænser visse angreb

Flere Cisco Nexus-sårbarheder kræver mere end en aktiv OAM-funktion.

For eksempel kræver CVE-2026-76486 også enten Segment Routing over IPv6 (SRv6) eller Network Virtualization Overlay.

Overlay-konfigurationen skal omfatte en VXLAN EVPN-netværksidentifikator, der er knyttet til en Network Virtualization Endpoint-grænseflade. Denne grænseflade skal også have registreret mindst ét andet VXLAN Tunnel Endpoint.

Samtidig kræver CVE-2026-76501 SRv6, som kun visse Nexus 9000-modeller understøtter.

MPLS-sårbarheden, CVE-2026-76465, kræver, at administratorer udtrykkeligt aktiverer MPLS OAM, da funktionen er slået fra som standard. Nexus 9000-switche, der bruger Silicon One ASIC-chips, understøtter ikke denne funktion og er derfor ikke berørt af netop denne sårbarhed.

Cisco oplyser også, at Nexus 7000-switche og Nexus 9000-switche, der kører i ACI-tilstand, ikke er berørt af nogen af de fem sårbarheder.

Opdateringer og midlertidige beskyttelsesforanstaltninger håndterer risiciene

Cisco anbefaler at opgradere berørte enheder til en NX-OS-version, hvor sårbarhederne er rettet. Administratorer kan bruge virksomhedens Software Checker-værktøj til at identificere den relevante opdatering.

Derudover fjerner deaktivering af unødvendige NX-API-, NGOAM- eller MPLS OAM-funktioner den tilsvarende angrebsvektor.

For switche, der ikke straks kan opgraderes og genstartes, tilbyder Cisco midlertidige Live Protect-beskyttelser, der dækker alle fem sårbarheder.

Cisco opdagede problemerne under interne sikkerhedstests. Da virksomheden offentliggjorde sikkerhedsmeddelelserne, havde den ikke kendskab til nogen offentlige afsløringer eller ondsindet udnyttelse.

Cisco License modtager også sikkerhedsrettelser

Separat har Cisco udgivet sikkerhedsforstærkende opdateringer til Cisco License, tidligere kendt som Smart Software Manager.

Disse opdateringer retter yderligere fire sårbarheder:

• CVE-2026-76480: Manglende autentificering for kritiske funktioner med en CVSS-score på 9,8.
• CVE-2026-76482: Forkert verificering af kryptografiske signaturer med en CVSS-score på 10,0.
• CVE-2026-76483: Utilstrækkelig beskyttelse af loginoplysninger med en CVSS-score på 9,1.
• CVE-2026-76484: Kodeinjektion med en CVSS-score på 8,8.

I modsætning til Nexus-problemerne påvirker disse sårbarheder udsatte versioner uanset konfiguration. Cisco anbefaler at opgradere til version 10-202609, da der ikke findes nogen alternative løsninger.

Ældre versioner, der stadig bærer navnet Smart Software Manager, vil dog ikke modtage sikkerhedsrettelser. Organisationer, der bruger disse versioner, skal migrere til en understøttet version for at få rettelserne.