Arista EOS: Denial of Service und mögliche Codeausführung im RIP-Agent

Zusammenfassung

Eine Schwachstelle im RIPv2-Agent von Arista EOS kann durch manipulierte RIPv2-Pakete ausgelöst werden, wodurch der RIP-Agent abstürzt. Ein nicht authentifizierter Angreifer im benachbarten Netzwerksegment kann dies gegen eine RIP-aktivierte Schnittstelle ausnutzen, ohne gültige Zugangsdaten zu besitzen. Wiederholte Ausnutzung unterbricht das Routing auf dem betroffenen Gerät zuverlässig und kann Geräte beeinträchtigen, die davon abhängen; das Advisory nennt beileibe im Worst Case die Ausführung beliebigen Codes.

Betroffen

• Arista Networks EOS 4.37.0F
• Arista Networks EOS 4.36.0F bis 4.36.2F
• Arista Networks EOS 4.35.0F bis 4.35.6M
• Arista Networks EOS 4.34.0F bis 4.34.8M
• Arista Networks EOS 4.33.0F bis 4.33.10M
• Arista Networks EOS 4.32.0F vor 4.33.0F
• Arista Networks EOS 1.0.0 vor 4.32.0F
• Standardkonfiguration: nicht betroffen. Relevant sind nur Geräte mit aktiviertem RIP.

Behoben in

Unbekannt. Die Abschnitte zur Behebung im Herstellerhinweis müssen geprüft werden.

Umgehung

• RIP dort deaktivieren, wo es nicht benötigt wird: router rip / shutdown.
• RIP auf vertrauenswürdige Schnittstellen beschränken und einschränken, welche Layer-2-Segmente RIP-aktivierte Ports erreichen können.
• Nicht allein auf die RIPv2-MD5-Authentifizierung vertrauen, da die verwandte Schwachstelle CVE-2026-121288 laut Berichten deren Umgehung erlaubt (Angaben Dritter, nicht von Arista bestätigt).
• Hinweis: Das Deaktivieren von RIP oder das Ändern von Network-Anweisungen kann Routen entfernen und die Konnektivität unterbrechen. Ein Änderungsfenster planen und Routen anschliessend prüfen.

Ausnutzung

• Zum Zeitpunkt der Erstellung ist keine Ausnutzung in freier Wildbahn bekannt.
• Kein öffentlicher Proof of Concept gefunden.
• Kein Eintrag im CISA-KEV-Katalog.

Unsere Empfehlung

• Prüfen, ob Arista-EOS-Geräte im Einsatz sind und ob RIP aktiviert ist (show running-config | section router rip).
• Ist RIP aktiviert, ein Änderungsfenster planen und nach Bestätigung das im Advisory von Arista genannte Fixrelease einspielen.
• Bis dahin RIP dort deaktivieren, wo es nicht erforderlich ist, und auf vertrauenswürdige Schnittstellen beschränken.
• Auf Routing-Instabilitäten und ungewöhnlichen RIP-Verkehr in benachbarten Segmenten achten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Arista Security Advisory 0221 www.arista.com
• CVE Record CVE-2026-121287 www.cve.org
• NVD Analysis Status (secondary aggregator) www.strix.ai
• Strix: CVE-2026-121288 (related MD5 bypass, third-party) www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 04:46.