Cisco Nexus 9000: Kritische Schwachstelle ermöglicht Remote-Codeausführung mit Root-Rechten

Cisco hat CVE-2026-20212 behoben, eine kritische Schwachstelle in der Silicon-One-Integration von zehn Switch-Modellen der Nexus 9000 Series. Ein nicht authentifizierter Angreifer kann speziell präparierte Daten an das Gerät senden und Code mit Root-Rechten ausführen.

Die Schwachstelle hat einen CVSS-Score von 9,8 von 10. Neben der vollständigen Kompromittierung des Switches kann ein erfolgreicher Exploit zum Absturz des Prozesses S1HAL und anschließend zu einem Neustart des Geräts führen. Dadurch sind auch Netzwerkausfälle möglich.

Cisco PSIRT veröffentlichte den Sicherheitshinweis am 2. September 2026 um 16:00 GMT und stufte ihn als endgültige Version 1.0 ein. Die Meldung wurde am 3. September 2026 veröffentlicht.

Zwei TCP-Ports machen die Komponente über das Standard-VRF erreichbar

CVE-2026-20212 setzt voraus, dass die Ports TCP 43210 und 43211 über das standardmäßige Layer-3 Virtual Routing and Forwarding, kurz L3 VRF, der betroffenen Switches erreichbar sind.

Ein Angreifer, der eine der auf dem Gerät konfigurierten IP-Adressen erreichen kann, kann eine Verbindung zu diesen Ports herstellen und schädliche Eingaben übertragen. Das System verarbeitet die Daten auf eine Weise, die ihre Ausführung als Code mit Root-Rechten ermöglicht.

Es sind weder Zugangsdaten noch vorhandene Berechtigungen oder Interaktionen durch einen Administrator erforderlich. Zudem gilt die Angriffskomplexität als niedrig. Diese Eigenschaften erklären den nahezu maximalen CVSS-Score:

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Der Vektor weist auf einen netzwerkbasierten Angriff ohne Authentifizierung und ohne Benutzerinteraktion hin. Die potenziellen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit sind hoch, während der Sicherheitsbereich unverändert bleibt.

Der Cisco-Sicherheitshinweis ergänzt den Vektor um die erweiterten Parameter E:X/RL:X/RC:X. Die Basisbewertung entspricht der in der NVD aufgeführten Bewertung. Weitere technische Referenzen sind die Cisco Bug ID CSCwu32817 und die Klassifizierung CWE-1327.

Die Codeausführung ist nicht die einzige mögliche Folge. Speziell präparierte Pakete können S1HAL zum Absturz bringen, den Prozess für die Hardwareabstraktionsschicht von Silicon One. Der Fehler kann einen Reload des Switches auslösen und den Angriff damit auch in einen Denial-of-Service-Zustand überführen.

Cisco entdeckte das Problem, während das Technical Assistance Center einen Supportfall bearbeitete. PSIRT liegen nach eigenen Angaben keine Hinweise auf böswillige Ausnutzung oder weitere öffentliche Meldungen zu dieser Schwachstelle vor.

Die zehn betroffenen Nexus-9000-Modelle

Die Schwachstelle betrifft nicht die gesamte Nexus-9000-Familie. Betroffen sind ausschließlich zehn Product IDs mit Silicon-One-ASIC:

• N9324C-SE1U
• N9348Y2C6D-SE1U
• N9364E-SG2-O
• N9364E-SG2-Q
• N9396T12C-SE1
• N9348Y12C-SE1
• N9396Y12C-SE1
• N9336C-SE1
• N9K-C9804
• N9K-C9808

Administratoren können das installierte Modul über die CLI mit folgendem Befehl ermitteln:

show module

In der Ausgabe erscheint unter anderem das Feld Model, das mit der Liste der betroffenen PIDs abgeglichen werden muss. Cisco zeigt beispielsweise ein Gerät, dessen Modul als N9336C-SE1 erkannt wird:

switch# show module
Mod Ports Module-Type                                  Model        Status
--- ----- -------------------------------------------- ------------ --------
1   36    36x40/100G QSFP28 Ethernet Module            N9336C-SE1   ok

Eine Bestandsaufnahme, die sich ausschließlich auf die allgemeine Bezeichnung „Nexus 9000“ stützt, reicht daher nicht aus. Die tatsächliche PID jedes Geräts muss überprüft werden. Das gilt auch für Chassis und Module in komplexeren Infrastrukturen.

Welche Cisco-Plattformen nicht betroffen sind

Cisco schließt alle Nexus-9000-Modelle außerhalb der zehn genannten Varianten von der Schwachstelle aus. Ebenfalls nicht betroffen sind Nexus 9000 Series Fabric Switches im ACI-Modus.

Zu den bestätigten, nicht betroffenen Produktfamilien gehören außerdem:

• Nexus 3000 Series und Nexus 7000 Series;
• MDS 9000 Series Multilayer Switches;
• Firepower 1000, 2100, 4100 und 9300;
• Secure Firewall 200, 1200, 3100, 4200 und 6100;
• UCS 6300, 6400, 6500 und 6600 Series Fabric Interconnects;
• UCS X-Series Direct Fabric Interconnect 9108 100G.

Der Betriebsmodus ist entscheidend. Ein Nexus 9000, der als Fabric Switch in ACI eingesetzt wird, gehört ausdrücklich zu den ausgeschlossenen Produkten. Ein Gerät mit einer der betroffenen PIDs muss dagegen überprüft und aktualisiert werden.

Der Patch ist verfügbar, die korrekte Version muss jedoch geprüft werden

Cisco hat Software-Updates zur Behebung von CVE-2026-20212 veröffentlicht. Es wurden jedoch keine einheitlichen Release- oder Build-Nummern genannt, die für alle betroffenen Modelle gelten.

Administratoren sollten den Cisco Software Checker verwenden, die Plattform auswählen und die installierte NX-OS-Version eingeben. Das Tool liefert den Eintrag First Fixed, also die erste Release-Version, in der die ausgewählte Schwachstelle behoben ist.

Wenn auf dem Gerät mehrere Sicherheitsprobleme vorliegen, kann auch Combined First Fixed verfügbar sein. Diese Angabe bezeichnet die erste Version, die alle vom Check berücksichtigten Schwachstellen gemeinsam behebt.

Vor dem Upgrade sollten außerdem die Cisco-Empfehlungen zu den empfohlenen Releases konsultiert werden. Die zu installierende Version muss anhand des konkreten Nexus-9000-Modells, der Konfiguration und der betrieblichen Anforderungen des Netzwerks ausgewählt werden.

Ein Update auf eine korrigierte Release-Version bleibt die endgültige Maßnahme. Workarounds, Filter und zusätzliche Schutzmechanismen können die Angriffsfläche lediglich vorübergehend reduzieren.

iACL und Live Protect zur Risikobegrenzung

Wenn ein sofortiges Update nicht möglich ist, empfiehlt Cisco einen auf einer Infrastructure Access Control List, kurz iACL, basierenden Workaround. Die Regeln sollten ausschließlich den tatsächlich erforderlichen Management- und Control-Plane-Datenverkehr zum Switch zulassen.

Alternativ können iACLs TCP-Pakete explizit blockieren, die an eine lokale IP-Adresse des Geräts und an folgende Ports gerichtet sind:

TCP/43210
TCP/43211

Der Filter verhindert, dass nicht autorisierte Hosts die über das standardmäßige L3 VRF erreichbaren Dienste kontaktieren. Bei der Umsetzung müssen die Managementarchitektur, Monitoring-Netzwerke und Tools, die rechtmäßig mit dem Switch kommunizieren, sorgfältig berücksichtigt werden.

Cisco hat den iACL-Workaround in der eigenen Umgebung erfolgreich getestet. Der Hersteller weist jedoch darauf hin, dass zu restriktive ACLs Funktionen oder die Performance beeinträchtigen können. Die Regeln sollten daher vor der Einführung in der Produktionsumgebung validiert werden.

Für Cisco NX-OS ist außerdem ein spezieller Live Protect Shield für CVE-2026-20212 verfügbar. Der Schutz kann den Zeitraum bis zur geplanten Wartung überbrücken, ersetzt jedoch nicht die Installation einer korrigierten Release-Version.

Prioritäre Prüfungen für Netzwerkadministratoren

Organisationen sollten mit der Bestandsaufnahme beginnen, auf jedem Nexus 9000 den Befehl show module ausführen und nach den zehn betroffenen PIDs suchen. Bei anfälligen Geräten muss anschließend die installierte NX-OS-Version ermittelt und mit dem Software Checker geprüft werden.

Bis zum Update sollte kontrolliert werden, dass die TCP-Ports 43210 und 43211 nicht aus nicht benötigten Netzwerken erreichbar sind. Verbindungen zu diesen Ports sollten außerdem in verfügbaren Logs und Telemetriedaten überprüft werden, insbesondere wenn sie aus unerwarteten Segmenten stammen.

Es wurden keine spezifischen Indicators of Compromise veröffentlicht. Ein ungewöhnlicher Absturz von S1HAL oder ein unerklärlicher Reload erfordert dennoch eine Untersuchung, da beides zu den möglichen Auswirkungen einer Ausnutzung gehört, allein jedoch keinen Beweis dafür darstellt.

In den verfügbaren NVD-Informationen findet sich kein Hinweis auf eine Aufnahme in den Katalog CISA Known Exploited Vulnerabilities. Es sind daher weder ein Aufnahmedatum in den KEV-Katalog noch eine bundesweite Frist zur Behebung bekannt. Cisco hat ebenfalls keine beobachteten Angriffe gemeldet.

Das Fehlen bekannter Exploits mindert jedoch nicht die technischen Auswirkungen der Schwachstelle: Remote-Zugriff, keine erforderliche Authentifizierung, Root-Rechte und ein möglicher Neustart des Switches machen eine schnelle Behebung auf den tatsächlich betroffenen Geräten erforderlich.