Cisco-Nexus-Schwachstellen könnten Root-Zugriff auf Switches ermöglichen

Fünf kritische Cisco-Nexus-Schwachstellen könnten es Angreifern ermöglichen, Code mit Root-Rechten auf betroffenen Rechenzentrums-Switches auszuführen. Cisco hat Sicherheitsupdates veröffentlicht, um die Schwachstellen im Betriebssystem NX-OS zu beheben.

Angreifer könnten außerdem Prozesse zum Absturz bringen und Neustarts von Geräten auslösen. Dadurch könnten Netzwerkdienste gestört werden, selbst wenn Versuche zur Codeausführung fehlschlagen.

Allerdings hängt die Gefährdung von der Gerätekonfiguration ab. Die Schwachstellen betreffen bestimmte Nexus-3000- und Nexus-9000-Switches, auf denen NX-OS im Standalone-Modus mit bestimmten aktivierten Netzwerkfunktionen ausgeführt wird.

Welche Funktionen machen Nexus-Switches angreifbar?

Die fünf Schwachstellen betreffen Validierungsfehler in NX-API, Next Generation OAM (NGOAM) und MPLS OAM. Jede Schwachstelle setzt voraus, dass die entsprechende Funktion aktiviert ist.

Zu den Schwachstellen gehören:

• CVE-2026-76471: Eine unzureichende Eingabevalidierung in NX-API könnte eine Ausnutzung durch eine speziell präparierte HTTP-Anfrage ermöglichen. NX-API ist standardmäßig deaktiviert.
• CVE-2026-76485, CVE-2026-76486 und CVE-2026-76501: Eine fehlerhafte Validierung des IP-Datenverkehrs könnte eine Ausnutzung durch manipulierte Pakete ermöglichen. Alle drei Schwachstellen setzen NGOAM voraus.
• CVE-2026-76465: Eine fehlerhafte Validierung von MPLS-Echo-Request-Paketen könnte eine Ausnutzung durch eine manipulierte Anfrage ermöglichen, die an die IP-Adresse des Geräts gerichtet ist.

Daher müssen Administratoren sowohl die NX-OS-Version als auch die auf jedem Switch aktivierten Funktionen überprüfen.

Zusätzliche Konfigurationsanforderungen schränken bestimmte Angriffe ein

Mehrere Cisco-Nexus-Schwachstellen erfordern mehr als nur eine aktivierte OAM-Funktion.

Beispielsweise setzt CVE-2026-76486 zusätzlich entweder Segment Routing over IPv6 (SRv6) oder Network Virtualization Overlay voraus.

Die Overlay-Konfiguration muss eine VXLAN-EVPN-Netzwerkkennung enthalten, die einer Network-Virtualization-Endpoint-Schnittstelle zugeordnet ist. Diese Schnittstelle muss außerdem mindestens einen anderen VXLAN Tunnel Endpoint erkannt haben.

CVE-2026-76501 setzt hingegen SRv6 voraus, das nur von bestimmten Nexus-9000-Modellen unterstützt wird.

Die MPLS-Schwachstelle CVE-2026-76465 erfordert, dass Administratoren MPLS OAM ausdrücklich aktivieren, da die Funktion standardmäßig deaktiviert ist. Nexus-9000-Switches mit Silicon-One-ASICs unterstützen diese Funktion nicht und sind daher von dieser speziellen Schwachstelle nicht betroffen.

Cisco erklärt außerdem, dass Nexus-7000-Switches und Nexus-9000-Switches im ACI-Modus von keiner der fünf Schwachstellen betroffen sind.

Updates und vorübergehende Schutzmaßnahmen reduzieren die Risiken

Cisco empfiehlt, betroffene Geräte auf eine NX-OS-Version zu aktualisieren, in der die Schwachstellen behoben wurden. Administratoren können das Software-Checker-Tool des Unternehmens verwenden, um das passende Update zu ermitteln.

Darüber hinaus beseitigt die Deaktivierung nicht benötigter NX-API-, NGOAM- oder MPLS-OAM-Funktionen den jeweiligen Angriffsvektor.

Für Switches, die nicht sofort aktualisiert und neu gestartet werden können, bietet Cisco vorübergehende Live-Protect-Schutzmaßnahmen an, die alle fünf Schwachstellen abdecken.

Cisco entdeckte die Probleme bei internen Sicherheitstests. Zum Zeitpunkt der Veröffentlichung der Sicherheitshinweise waren dem Unternehmen weder öffentliche Offenlegungen noch eine böswillige Ausnutzung bekannt.

Auch Cisco License erhält Sicherheitskorrekturen

Unabhängig davon hat Cisco Updates zur Verbesserung der Sicherheit von Cisco License veröffentlicht, das zuvor als Smart Software Manager bekannt war.

Diese Updates beheben vier weitere Schwachstellen:

• CVE-2026-76480: Fehlende Authentifizierung für kritische Funktionen mit einem CVSS-Wert von 9,8.
• CVE-2026-76482: Fehlerhafte Überprüfung kryptografischer Signaturen mit einem CVSS-Wert von 10,0.
• CVE-2026-76483: Unzureichender Schutz von Zugangsdaten mit einem CVSS-Wert von 9,1.
• CVE-2026-76484: Code-Injection mit einem CVSS-Wert von 8,8.

Anders als bei den Nexus-Problemen betreffen diese Schwachstellen anfällige Versionen unabhängig von ihrer Konfiguration. Cisco empfiehlt ein Upgrade auf Version 10-202609, da keine Umgehungslösungen verfügbar sind.

Ältere Versionen, die noch den Namen Smart Software Manager tragen, werden jedoch keine Sicherheitskorrekturen erhalten. Organisationen, die diese Versionen verwenden, müssen auf eine unterstützte Version migrieren, um die Korrekturen zu erhalten.