Podsumowanie
| Parametr | Wartość |
|---|---|
| CVE ID | CVE-2026-121289 |
| Źródło alertu | GitHub Advisory - Krytyczna podatność |
| Rok publikacji CVE | 2026 |
| Data publikacji | 2026-11-10 |
| Producent | Arista |
| Produkt | EOS |
| Typ podatności | przepełnienie bufora na stosie (CWE-121) |
| CVSS Score | 9.8 (Krytyczny) |
| EPSS Score | Brak danych |
| CISA KEV | Nie |
| Ransomware | Nie potwierdzono |
Opis podatności
Źródło: NVD, Arista
Na podatnych platformach z systemem Arista EOS i skonfigurowanym BGP specjalnie spreparowany pakiet może spowodować awarię agenta BGP.
Skuteczne wykorzystanie luki kończy proces agenta BGP, co powoduje utratę wszystkich sesji BGP na urządzeniu i może zakłócić routing w sieci do czasu odtworzenia procesu. Ze względu na charakter podatności zaawansowany atakujący może również uzyskać możliwość wykonania dowolnego kodu, co mogłoby naruszyć poufność i integralność podatnego systemu.
Wymagane działania
- Zaktualizuj Arista EOS do wersji z poprawką wskazanej w Security Advisory 0208 producenta (tam też ewentualne obejścia i lista podatnych platform).
- Ogranicz dostęp do portu BGP (179/TCP) wyłącznie do zdefiniowanych sąsiadów — przez ACL płaszczyzny sterowania (control-plane ACL) i filtrowanie na brzegu.
- Tam, gdzie to możliwe, włącz uwierzytelnianie sesji BGP (TCP-AO / MD5) i GTSM.
- Monitoruj restarty agenta BGP i nagłe zrywanie sesji — mogą świadczyć o próbach ataku.
Kogo dotyczy?
Podatność dotyczy przełączników i routerów Arista z systemem EOS i skonfigurowanym BGP — typowo w centrach danych, sieciach operatorów i dużych sieciach korporacyjnych. Listę podatnych platform i wersji podaje biuletyn Arista.
Źródła
Potrzebujesz wsparcia w zabezpieczeniu systemów? Zespół nFlo oferuje usługi zarządzania podatnościami oraz SOC 24/7. Skontaktuj się z nami.
Najczęściej zadawane pytania
Czym jest podatność CVE-2026-121289?
CVE-2026-121289 to przepełnienie bufora na stosie (CWE-121) w agencie BGP systemu Arista EOS, które pozwala zatrzymać proces BGP spreparowanym pakietem, a potencjalnie także wykonać kod. Ocena CVSS: 9.8.
Czy do wykorzystania CVE-2026-121289 potrzebne jest uwierzytelnienie?
Według oceny CVSS producenta atak jest prowadzony przez sieć i nie wymaga uwierzytelnienia. Urządzenie musi mieć skonfigurowane BGP.
Jak zabezpieczyć się przed CVE-2026-121289?
Zaktualizować EOS zgodnie z biuletynem Arista Security Advisory 0208 i ograniczyć dostęp do portu BGP do zaufanych sąsiadów.
Kogo dotyczy CVE-2026-121289?
Organizacji korzystających z urządzeń Arista z systemem EOS i włączonym BGP — centrów danych, operatorów i dużych sieci korporacyjnych.
