Cisco Nexus: Fünf kritische Lücken geben Angreifern Root-Rechte auf Switches

Cisco warnt vor fünf kritischen Lücken in NX-OS, der Software seiner Rechenzentrums-Switches Nexus 3000 und Nexus 9000. Für einen Angriff brauchen Täter weder Passwort noch Konto und erhalten Root-Rechte auf dem Gerät. Gefährdet sind Switches, auf denen eine von drei Zusatzfunktionen läuft.

drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen

Wann haben Sie die Nexus-Switches in Ihrem Rechenzentrum zuletzt aktualisiert? Cisco hat am 7. Oktober drei Sicherheitshinweise zu NX-OS veröffentlicht, jeder mit dem CVSS-Wert 9,8 von 10. Am selben Tag folgte eine zweite Warnung mit dem Höchstwert 10,0, diesmal für Ciscos Lizenzserver.

Das Wichtigste in Kürze

• Fünf kritische NX-OS-Lücken erlauben Angreifern, auf Nexus-3000- und Nexus-9000-Switches im Standalone-Modus Code mit Root-Rechten auszuführen.
• Angreifbar sind nur Geräte mit aktiver NX-API, NGOAM oder MPLS OAM.
• Cisco liefert Updates und vorläufige Schutzfilter, ausgenutzt wurden die Lücken bisher nicht.
• Für den Lizenzserver Cisco License On-Prem existiert kein Workaround, ältere Versionen bekommen keinen Patch mehr.

Welche Nexus-Switches sind betroffen?

Die Lücken stecken in drei Zusatzfunktionen von NX-OS. Über die NX-API steuern Automatisierungswerkzeuge den Switch per HTTP, eine präparierte Anfrage genügt für den Angriff.^[1] NGOAM und MPLS OAM prüfen Verbindungen im Netz, ähnlich wie ein Ping. Bei diesen beiden Funktionen genügen manipulierte Pakete an eine IP-Adresse des Switches. Drei der fünf Lücken sitzen in NGOAM, zwei davon greifen nur bei zusätzlich aktivem SRv6 oder einem VXLAN-Overlay.^[2]

Nicht betroffen sind die Baureihe Nexus 7000 und Nexus-9000-Switches im ACI-Modus. Nexus-9000-Modelle mit Silicon-One-Chip unterstützen MPLS OAM gar nicht und bleiben von der MPLS-OAM-Lücke verschont.^[3] Gefunden hat Cisco alle fünf Fehler bei eigenen Sicherheitstests.

Warum reicht ein Paket für Root-Rechte?

Bei NGOAM beschreibt Cisco einen Pufferüberlauf auf dem Stack: Der Dienst prüft eingehende Pakete nicht ausreichend, präparierte Daten schreiben über den reservierten Speicher hinaus.^[2] Diagnoseprotokolle wie NGOAM antworten bewusst auf Pakete aus dem Netz, damit Administratoren Pfade testen können. Die Dienste laufen unter NX-OS mit Root-Rechten, ein einziger Parserfehler öffnet deshalb das ganze Gerät. Scheitert der Angriff, stürzt der Dienst ab und der Switch startet neu.

Ein NX-OS-Update erfordert in der Regel einen Neustart des Switches, der Datenverkehr stockt dabei. Cisco liefert deshalb für alle fünf Lücken Live-Protect-Filter, die den Angriff bis zum Update abfangen.^[1]

Warum sind Switches ein beliebtes Angriffsziel?

Viele Firmen nehmen ihre Switches nicht ins Monitoring, deren Protokolle landen selten in einer zentralen Auswertung. Diesen blinden Fleck nutzte 2024 die China zugeordnete Spionagegruppe Velvet Ant, die sich über die NX-OS-Lücke CVE-2024-20399 unbemerkt auf Nexus-Switches festsetzte. So rekonstruierte die Sicherheitsfirma Sygnia den Angriff. Damals brauchten die Angreifer noch gültige Admin-Zugänge, die neuen Fehler kommen ohne aus.

Cisco räumt den eigenen Code gerade in Serie auf. Im August meldete der Konzern 21 Lücken, die KI-Modelle bei der Prüfung des Quellcodes gefunden hatten. Im September folgten eine kritische Lücke in der Zugangskontrolle Cisco ISE und eine aktiv ausgenutzte im Secure Email Gateway. Auch bei Palo Alto gab eine PAN-OS-Lücke Angreifern zuletzt Root-Rechte auf der Firewall.

Was sollten Betreiber im DACH-Raum jetzt tun?

Für Unternehmen unter dem deutschen NIS2-Recht gehört das Schwachstellenmanagement zu den Pflichtmaßnahmen nach § 30 Abs. 2 Nr. 5 BSIG.^[5] Bei einer Prüfung zählt ein ungepatchter Kern-Switch deshalb als Mangel. Diese Schritte empfiehlt Cisco:

• Mit „show feature“ prüfen, ob NX-API, NGOAM oder MPLS OAM aktiv sind, und ungenutzte Funktionen abschalten.
• Den Cisco Software Checker befragen und auf die passende NX-OS-Version wechseln.
• Bis zum Update-Fenster die Live-Protect-Filter einspielen.
• Cisco License On-Prem auf Version 10-202609 bringen, ältere Smart-Software-Manager-Installationen migrieren.

Beim Lizenzserver bleibt kein Aufschub: Cisco nennt vier Lücken bis zum Höchstwert 10,0, einen Workaround bietet der Hersteller nicht.^[4] Fehlt intern das Netzwerkpersonal, übernimmt ein IT-Systemhaus mit Managed Services das Patch-Fenster.

FAQ: Cisco Nexus: Fünf kritische Lücken geben Angreifern Root-Rechte auf Switches

Quellen

[1] Cisco: „Cisco NX-OS Software NX-API Remote Code Execution Vulnerability“ (cisco-sa-napi-rce-r2shwu2j)

[2] Cisco: „Cisco NX-OS Software NGOAM Remote Code Execution Vulnerabilities“ (cisco-sa-ngoam-rce-LWKQ4BU)

[3] Cisco: „Cisco NX-OS Software MPLS OAM Remote Code Execution Vulnerability“ (cisco-sa-moam-rce-uBTzYV7)

[4] Cisco: „Cisco License On-Prem Security Hardening Updates“ (cisco-sa-hardening-ssm-Ph77wdhf)

[5] Bundesministerium der Justiz: „§ 30 BSIG, Risikomanagementmaßnahmen“

Mehr Newshunger?

• FortiBleed: FBI warnt vor 86.644 gekaperten Fortinet-Firewalls
• FortiMail-Lücke CVE-2026-104286: Angreifer kapern Mail-Gateways, der Patch fehlt noch
• Höchstwertung für Ciscos Firewall-Lücke: CISA warnt vor drei Herstellern
• Support-Ende bei Arista: Die Patches enden zwei Jahre vor dem Gerät
• Brüssel befreit 28.700 Mittelständler von der NIS2-Hauptlast
• Cisco: Wie verdient der heimliche Herr des Internets?