Arista EOS: Ungeschützter BGP-Listener bei geändertem Listen-Port

Zusammenfassung

Wenn auf betroffenen Arista-EOS-Geräten Border Gateway Protocol (BGP) läuft und der BGP-Listen-Port vom Standardwert abweicht, werden die standardmässigen schützenden Access Control List (ACL)-Regeln gegen unerwartete BGP-Peering-Versuche deaktiviert. Ein Angreifer, der den BGP-Listener über das Netzwerk erreichen kann, kann versuchen, unautorisierte BGP-Sitzungen aufzubauen; laut CVSS-Vektor betrifft dies die Integrität gering und die Verfügbarkeit hoch, ohne Auswirkung auf die Vertraulichkeit. Gemäss Vektor ist keine Authentifizierung erforderlich.

Betroffen

• Arista EOS 4.36.0F bis 4.36.2F (Status von 4.36.x muss anhand der Advisory bestätigt werden, da die Quellen widersprüchlich sind)
• Arista EOS 4.35.0F bis 4.35.6M
• Arista EOS 4.34.0F bis 4.34.8M
• Arista EOS 4.33.0F bis 4.33.10M
• Arista EOS 4.32.0F bis vor 4.33.0F
• Arista EOS 1.0.0 bis vor 4.32.0F
• Nur betroffen, wenn der BGP-Listen-Port vom Standardwert (179) abweicht

Behoben in

Unbekannt. In den Quellen wurde kein bestätigtes Fix-Release gefunden; bitte die Arista-Advisory prüfen.

Umgehung

• Den BGP-Listen-Port mit "no bgp transport listen-port" unter "router bgp <asn>" auf den Standardwert zurücksetzen.
• Falls ein nicht standardmässiger Port beibehalten werden muss, die ACL der Control Plane so einschränken, dass nur erwartete Remote-IP-Adressen (und gegebenenfalls erwartete TTL-Werte) diesen Port erreichen.
• Die Konfiguration mit "show running-config section bgp | include listen-port" prüfen.
• Jede ACL auf der betroffenen Plattform vor dem Einsatz testen, da ein Forscher berichtet hat, dass cEOS eingehende ACLs der Control Plane möglicherweise nicht anwendet.

Ausnutzung

Zum Zeitpunkt der Recherche wurden keine Hinweise auf Ausnutzung in freier Wildbahn, auf einen öffentlichen Proof of Concept oder auf einen Eintrag im CISA-KEV-Katalog gefunden. Der Eintrag ist neu, daher kann sich dies rasch ändern.

Unsere Empfehlung

• Alle Arista-EOS-Geräte inventarisieren und deren Versionen mit den betroffenen Bereichen vergleichen; den Status von 4.36.x in der Arista-Advisory bestätigen.
• Prüfen, ob ein BGP-Listen-Port von 179 abweicht; falls ja, auf den Standardwert zurücksetzen oder den Zugriff mit ACLs einschränken.
• Prüfen, ob BGP aus nicht vertrauenswürdigen Netzen erreichbar ist, und den Zugriff am Netzwerkrand einschränken.
• Nach Bestätigung durch Arista ein Upgrade auf ein Fix-Release planen.
• CISA KEV und NVD in den kommenden Tagen erneut prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Arista Security Advisory 0209 www.arista.com
• Arista EOS BGP documentation www.arista.com
• Arista EOS ACLs and route maps documentation www.arista.com
• CVE-2026-121290 at Strix www.strix.ai
• CVE-2026-121290 at threatint cve.threatint.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 01:21.