Cisco Nexus-sårbarheter kan gi root-tilgang til svitsjer

Fem kritiske Cisco Nexus-sårbarheter kan gjøre det mulig for angripere å kjøre kode med root-rettigheter på berørte datasentersvitsjer. Cisco har lansert sikkerhetsoppdateringer for å rette sårbarhetene i operativsystemet NX-OS.

Angripere kan også få prosesser til å krasje og utløse omstarter av enheter, noe som kan forstyrre nettverkstjenester selv når forsøk på å kjøre kode mislykkes.

Eksponeringen avhenger imidlertid av enhetens konfigurasjon. Sårbarhetene påvirker enkelte Nexus 3000- og Nexus 9000-svitsjer som kjører frittstående NX-OS med spesifikke nettverksfunksjoner aktivert.

Hvilke funksjoner eksponerer Nexus-svitsjer?

De fem sårbarhetene involverer valideringsfeil i NX-API, Next Generation OAM (NGOAM) og MPLS OAM. Hver sårbarhet krever at den tilhørende funksjonen er aktiv.

Sårbarhetene omfatter:

• CVE-2026-76471: Utilstrekkelig validering av inndata i NX-API kan muliggjøre utnyttelse gjennom en spesiallaget HTTP-forespørsel. NX-API er deaktivert som standard.
• CVE-2026-76485, CVE-2026-76486 og CVE-2026-76501: Feilaktig validering av IP-trafikk kan muliggjøre utnyttelse gjennom manipulerte pakker. Alle tre krever NGOAM.
• CVE-2026-76465: Feilaktig validering av MPLS echo-request-pakker kan muliggjøre utnyttelse gjennom en manipulert forespørsel rettet mot enhetens IP-adresse.

Derfor må administratorer kontrollere både NX-OS-versjonen og hvilke funksjoner som er aktivert på hver svitsj.

Ytterligere konfigurasjonskrav begrenser enkelte angrep

Flere Cisco Nexus-sårbarheter krever mer enn en aktiv OAM-funksjon.

For eksempel krever CVE-2026-76486 også enten Segment Routing over IPv6 (SRv6) eller Network Virtualization Overlay.

Overlay-konfigurasjonen må inkludere en VXLAN EVPN-nettverksidentifikator som er knyttet til et Network Virtualization Endpoint-grensesnitt. Dette grensesnittet må også ha oppdaget minst ett annet VXLAN Tunnel Endpoint.

Samtidig krever CVE-2026-76501 SRv6, som bare enkelte Nexus 9000-modeller støtter.

MPLS-sårbarheten, CVE-2026-76465, krever at administratorer uttrykkelig aktiverer MPLS OAM, ettersom funksjonen er deaktivert som standard. Nexus 9000-svitsjer som bruker Silicon One ASIC-brikker, støtter ikke denne funksjonen og er derfor ikke berørt av akkurat denne sårbarheten.

Cisco opplyser også at Nexus 7000-svitsjer og Nexus 9000-svitsjer som kjører i ACI-modus, ikke er berørt av noen av de fem sårbarhetene.

Oppdateringer og midlertidige beskyttelsestiltak reduserer risikoen

Cisco anbefaler å oppgradere berørte enheter til en NX-OS-versjon der sårbarhetene er rettet. Administratorer kan bruke selskapets Software Checker-verktøy for å finne riktig oppdatering.

I tillegg fjerner deaktivering av unødvendige NX-API-, NGOAM- eller MPLS OAM-funksjoner den tilsvarende angrepsvektoren.

For svitsjer som ikke umiddelbart kan oppgraderes og startes på nytt, tilbyr Cisco midlertidige Live Protect-beskyttelser som dekker alle fem sårbarhetene.

Cisco oppdaget problemene under interne sikkerhetstester. Da selskapet publiserte sikkerhetsvarslene, kjente det ikke til noen offentlige avsløringer eller ondsinnet utnyttelse.

Cisco License får også sikkerhetsrettelser

Separat har Cisco lansert sikkerhetsforsterkende oppdateringer for Cisco License, tidligere kjent som Smart Software Manager.

Disse oppdateringene retter ytterligere fire sårbarheter:

• CVE-2026-76480: Manglende autentisering for kritiske funksjoner, med en CVSS-poengsum på 9,8.
• CVE-2026-76482: Feilaktig verifisering av kryptografiske signaturer, med en CVSS-poengsum på 10,0.
• CVE-2026-76483: Utilstrekkelig beskyttelse av påloggingsopplysninger, med en CVSS-poengsum på 9,1.
• CVE-2026-76484: Kodeinjeksjon, med en CVSS-poengsum på 8,8.

I motsetning til Nexus-problemene påvirker disse sårbarhetene utsatte versjoner uavhengig av konfigurasjon. Cisco anbefaler å oppgradere til versjon 10-202609, ettersom ingen alternative løsninger er tilgjengelige.

Eldre versjoner som fortsatt bruker navnet Smart Software Manager, vil imidlertid ikke motta sikkerhetsrettelser. Organisasjoner som bruker disse versjonene, må migrere til en støttet versjon for å få tilgang til rettelsene.