Cảnh báo lỗ hổng nghiêm trọng trên Cisco Nexus: RCE với quyền Root

• Phạm vi ảnh hưởng: Các dòng switch Cisco Nexus 3000 và 9000 chạy phần mềm NX-OS với tính năng NGOAM được kích hoạt.
• Mức độ nghiêm trọng: Điểm CVSS 9.8 (Critical), cho phép thực thi mã từ xa (RCE) với quyền root.
• Cơ chế tấn công: Kẻ tấn công gửi các gói tin IP được chế tạo đặc biệt tới giao diện của thiết bị.
• Giải pháp: Cập nhật bản vá từ Cisco hoặc vô hiệu hóa tính năng NGOAM nếu không cần thiết.

Cisco vừa chính thức phát hành các bản cập nhật bảo mật để khắc phục ba lỗ hổng nghiêm trọng ảnh hưởng đến các dòng switch Nexus 3000 và 9000. Các lỗ hổng này nằm trong tính năng Next Generation Operation, Administration, and Maintenance (NGOAM) của phần mềm Cisco NX-OS, cho phép kẻ tấn công từ xa thực thi mã tùy ý với quyền root mà không cần thông qua bất kỳ bước xác thực nào.

Chi tiết các lỗ hổng bảo mật

Các lỗ hổng được công bố vào ngày 7 tháng 10 năm 2026, bao gồm CVE-2026-76485, CVE-2026-76486 và CVE-2026-76501. Với điểm số CVSS cơ sở là 9.8, đây là những lỗ hổng có mức độ rủi ro cực kỳ cao, có khả năng gây ra sự cố sập tiến trình, buộc thiết bị khởi động lại hoặc làm gián đoạn hoàn toàn dịch vụ mạng.

Theo các nhà nghiên cứu bảo mật, các lỗ hổng này xuất phát từ việc xác thực không đúng cách đối với lưu lượng IP đầu vào khi tính năng NGOAM được bật. Kẻ tấn công có thể khai thác bằng cách gửi các gói tin được chế tạo đặc biệt đến giao diện IP của switch bị ảnh hưởng, từ đó chiếm quyền điều khiển ở cấp độ cao nhất của hệ điều hành.

Phân tích điều kiện khai thác

Không phải tất cả các thiết bị Nexus đều chịu ảnh hưởng như nhau. Mức độ phơi nhiễm phụ thuộc vào cấu hình cụ thể của từng thiết bị. Quản trị viên cần kiểm tra kỹ các tính năng đang được kích hoạt trên hệ thống của mình:

• CVE-2026-76485: Chỉ yêu cầu tính năng NGOAM được kích hoạt.
• CVE-2026-76486: Yêu cầu NGOAM kết hợp với SRv6 hoặc cấu hình Network Virtualization Overlay (NVE) với ít nhất một peer tunnel endpoint đã được học.
• CVE-2026-76501: Yêu cầu cả NGOAM và SRv6 phải được kích hoạt đồng thời.

Để xác định xem hệ thống của mình có đang chạy các tính năng này hay không, quản trị viên có thể sử dụng các lệnh CLI sau:

show feature | include ngoam
show feature | include nve
show feature | include srv6

Ngoài ra, đối với các cấu hình overlay, quản trị viên cần kiểm tra thêm các thông tin chi tiết thông qua lệnh show running-config | begin "interface nve", show nve vni và show nve peers.

Khuyến nghị phòng thủ và khắc phục

⚠️ Cảnh báo quan trọng: Hiện tại không có giải pháp thay thế (workaround) nào khác ngoài việc vô hiệu hóa tính năng NGOAM nếu không thực sự cần thiết. Việc cập nhật phần mềm là bắt buộc để đảm bảo an toàn lâu dài.

Cisco khuyến cáo các tổ chức nên sử dụng công cụ Cisco Software Checker để xác định phiên bản phần mềm đã được vá lỗi cho thiết bị của mình. Đối với các môi trường chưa thể cập nhật ngay lập tức, việc vô hiệu hóa tính năng NGOAM có thể được thực hiện bằng lệnh sau:

configure terminal
no feature ngoam

Cần lưu ý rằng, trước khi thực hiện lệnh này, quản trị viên cần đánh giá kỹ lưỡng tác động của nó đối với các hoạt động vận hành mạng, vì NGOAM đóng vai trò quan trọng trong việc kiểm tra kết nối và xử lý sự cố. Ngoài ra, Cisco cũng đã phát hành các lá chắn Live Protect như một biện pháp bảo vệ tạm thời, tuy nhiên đây không phải là giải pháp thay thế cho việc nâng cấp phần mềm chính thức.

Trước đó, một lỗ hổng khác là CVE-2026-20212 cũng đã được ghi nhận trên các dòng Nexus 9000 sử dụng chip Silicon One. Quản trị viên cần lưu ý rằng các lỗ hổng NGOAM này là các vấn đề riêng biệt và cần được đánh giá, xử lý độc lập theo quy trình quản lý bản vá của tổ chức.