Arista CloudVision CUE: Source-IP-Spoofing führt zu administrativem Zugriff
Zusammenfassung
CloudVision CUE (CV-CUE), das Wi-Fi-Management-Backend in On-Premises-Installationen, kann durch Fälschung der Source-IP-Adresse missbraucht werden. Ein nicht authentifizierter Angreifer im benachbarten privaten Netzwerk oder über einen Reverse Proxy beziehungsweise Load Balancer, der Client-Header weiterleitet, kann administrative Sitzungsrechte erlangen. Die Schwachstelle ist nur ausnutzbar, wenn das Backend wifimanager aktiviert ist und läuft.
Betroffen
- Arista CloudVision CUE On-Premises, Versionen 2021.2.0 bis 2026.2.0 (Standard: nicht betroffen)
- Nur Installationen, bei denen das CV-CUE-Backend (wifimanager) aktiviert ist und läuft
- Cloud-verwaltete Installationen sind laut Hersteller nicht betroffen
- Genaue betroffene Builds älterer Zweige: Unbekannt.
Behoben in
- Arista CloudVision CUE 2026.2.1 und neuer
- Korrigierte Builds für ältere Zweige: Unbekannt.
Umgehung
- Laut Arista ist keine Gegenmassnahme oder Workaround verfügbar.
- Der Zugriff auf das CV-CUE-Backend auf vertrauenswürdige Management-Netze zu beschränken und sicherzustellen, dass Reverse Proxies keine von Clients gesetzten Source-IP-Header weiterleiten, reduziert das Risiko. Diese Schritte vor Änderungen in Produktivsystemen mit dem Hersteller abstimmen.
Ausnutzung
- Arista ist keine missbräuchliche Ausnutzung in Kundennetzwerken bekannt.
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
- Im Rahmen der Recherche wurde kein öffentlicher Proof of Concept gefunden. Dies ist kein Beweis, dass keiner existiert.
- Laut den Quellen nicht im KEV-Katalog gelistet.
Unsere Empfehlung
- Prüfen, ob On-Premises-CV-CUE im Einsatz ist und ob wifimanager läuft (cvpi status wifimanager).
- Auf CloudVision CUE 2026.2.1 oder neuer aktualisieren.
- Bis zum Patch den Zugriff auf die Management-Oberfläche auf vertrauenswürdige Netze beschränken und die Behandlung von Reverse-Proxy-Headern prüfen.
- Administrative Anmeldungen am CV-CUE-Backend auf unerwartete Aktivitäten überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Arista Security Advisory 0190 www.arista.com
- OpenCVE CVE-2026-102161 app.opencve.io
- Canadian Centre for Cyber Security AV26-1015 www.cyber.gc.ca
- Arista Security Advisory 0191 (different CVE, LDAP mitigation) www.arista.com
- Strix CVE-2026-102161 www.strix.ai
- Threatint CVE-2026-102161 cve.threatint.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 05:27.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.