Cisco Nexus交换机存在严重漏洞，未经身份验证的攻击者可利用这些漏洞以root权限执行代码

原创

ZM
ZM

暗镜

2026年10月14日 06:00
北京

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

2026 年 10 月 7 日思科发布的公告 cisco-sa-ngoam-rce-LWKQ4BU 指出了三个漏洞：CVE-2026-76485、CVE-2026-76486 和 CVE-2026-76501。思科披露了其 Nexus 3000 和 9000 系列交换机中的三个严重漏洞，这些漏洞可能允许未经身份验证的远程攻击者以 root 权限执行任意代码。成功利用该漏洞可能导致进程崩溃、触发设备重启，并造成拒绝服务，从而中断网络可用性。

Cisco 已将这些漏洞的 CVSS 基本评分定为 9.8，并将其列为 CWE-121，将其归类为基于堆栈的缓冲区溢出。这些漏洞影响思科NX-OS软件中的下一代运维管理功能（NGOAM）。思科在内部安全测试中发现了这些漏洞，并已发布软件更新来修复它们。思科表示，这些漏洞是由于启用 NGOAM 时对 IP 流量的输入验证不当造成的。攻击者可以通过向 IP 接口发送特制数据包来利用受影响的交换机。

成功利用该漏洞可能导致执行 root 权限代码，或造成进程崩溃，进而导致设备重启。已发布的 CVSS 向量表明，该漏洞可通过网络以较低的攻击复杂度进行利用，无需任何特权或用户交互。NGOAM 支持网络诊断和故障排除。其 VXLAN 功能提供环路检测和缓解，而 SRv6 NGOAM 使用 IPv6 ping 和路径跟踪机制来验证连接性并隔离转发问题。

这些漏洞会影响以独立 NX-OS 模式运行的 Nexus 3000 和 Nexus 9000 系列交换机，但它们的配置要求有所不同：

• CVE-2026-76485：仅需启用 NGOAM。
• CVE-2026-76486：需要启用 NGOAM，并结合 IPv6 分段路由或 NV Overlay。Overlay 配置必须包含一个映射到 NVE 接口的 VXLAN EVPN VNI，且该接口至少包含一个已学习到的对等 VTEP。
• CVE-2026-76501：需要同时启用 NGOAM 和 SRv6。

思科指出，Nexus 3000 系列交换机不支持 SRv6，只有部分 Nexus 9000 系列交换机支持 SRv6。此外，已确认运行在 ACI 模式下的 Nexus 9000 系列交换机和 Nexus 7000 系列交换机不受影响。

管理员可以使用命令 show feature | include ngoam 检查 NGOAM 的状态。可以使用命令 show feature | include nve 和 show feature | include srv6 对 overlay 和 SRv6 进行相关检查。

对于 overlay 暴露，Cisco 还列出了show running-config | begin \"interface nve\"、show nve vni和 ，show nve peers以检查所需的配置和对等状态。

思科已声明，目前尚无针对这些漏洞的变通方案。但是，在不需要时禁用 NGOAM 功能可以消除这三个漏洞的攻击途径。管理员在评估操作后果后，可以在全局配置模式下执行命令 no feature ngoam。

此外，思科还发布了 Live Protect 防护措施作为临时缓解方案。这些防护措施可以暂时缓解问题，直到管理员安排软件升级为止，但它们并不能替代安装修复版本。

各组织应使用 Cisco 软件检查器来识别受影响的版本和合适的升级目标。该建议不包含固定版本表。

截至发稿时，思科产品安全事件响应小组 (PSIRT) 报告称，尚未发现任何公开披露或恶意利用这些漏洞的情况。尽管如此，此评估结果并不能排除修复受影响交换机的必要性。