Arista EOS: Sensitive Authentifizierungsdaten in Diagnosedaten während SSU
Zusammenfassung
Auf Arista-EOS-Switches, die IEEE 802.1X mit MACsec und dynamisch abgeleiteten Schlüsseln verwenden, können sensitive Authentifizierungsinformationen in Diagnosedaten während eines Smart Switch Upgrade (SSU) geschrieben werden. Ein Angreifer mit administrativem Zugriff auf das Gerät, der diese Diagnosedaten erlangt, könnte Authentifizierungsinformationen wiederherstellen und potenziell die Vertraulichkeit und Integrität des durch MACsec geschützten Datenverkehrs auf der betroffenen Verbindung gefährden. Die Exposition besteht nur während und nach einem SSU-Reload, solange eine aktive 802.1X-Sitzung für MACsec vorhanden ist.
Betroffen
- Arista EOS 4.22.0F bis vor 4.32.0F (unbestätigt, mit der Herstellerwarnung prüfen)
- Arista EOS 4.32.0F bis vor 4.33.0F (unbestätigt)
- Arista EOS 4.33.0F bis 4.33.9M (unbestätigt)
- Arista EOS 4.34.0F bis 4.34.8M (unbestätigt)
- Arista EOS 4.35.0F bis 4.35.6M (unbestätigt)
- Arista EOS 4.36.0F bis 4.36.2F (unbestätigt)
- Erforderliche Konfiguration: 802.1X mit MACsec-Profil, das 'key source dot1x' verwendet
Behoben in
Unbekannt. Es wurde keine verifizierte Liste korrigierter Versionen gefunden; die Arista-Warnung 25038-security-advisory-0216 prüfen.
Umgehung
Unbekannt. In den Quellen wurde kein Workaround des Herstellers gefunden.
Ausnutzung
- Keine bekannte Ausnutzung in freier Wildbahn.
- Kein öffentlicher Proof-of-Concept bekannt.
- Die Ausnutzung erfordert administrativen (hoch privilegierten) Zugriff auf das Gerät.
Unsere Empfehlung
- Prüfen, ob Arista-EOS-Geräte im Einsatz sind und ob sie 802.1X mit dynamischen MACsec-Schlüsseln verwenden.
- Die Arista-Warnung 25038-security-advisory-0216 öffnen, um betroffene und korrigierte Versionen zu bestätigen.
- Administrativen Zugriff auf die Switches einschränken.
- Diagnose- und Support-Bundles von betroffenen Switches als sensitiv behandeln, nicht weitergeben und nach Gebrauch löschen.
- SSU-Zeitpunkte auf betroffenen Verbindungen überprüfen und das Patchen planen, sobald korrigierte Versionen bestätigt sind.
- Priorität: für die meisten KMU niedrig bis mittel, höher dort, wo MACsec für Compliance oder Linkschutz genutzt wird.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Arista Security Advisory 0216 (25038) www.arista.com
- CVE and CNA data (threatint mirror) cve.threatint.com
- Affected version ranges (Strix) www.strix.ai
- VulDB entry vuldb.com
- Arista MACsec documentation www.arista.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 07:27.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.