Arista EOS: Route-Injection über RIPv2 auf Management-Schnittstellen
Zusammenfassung
Auf Arista-EOS-Geräten mit konfiguriertem RIPv2 kann RIPv2 stillschweigend auf Management-Schnittstellen aktiviert werden, obwohl der RIP-Agent dies verhindern soll. Ein nicht authentifizierter Angreifer im benachbarten Netzwerk kann manipulierte RIPv2-Routenankündigungen an die Management-IP senden, und das Gerät kann diese akzeptieren und installieren. Dadurch können Datenverkehr umgeleitet, Blackhole-Routen eingeschleust oder die Erreichbarkeit von Systemen gestört werden, deren Verkehr über das Gerät läuft.
Betroffen
- Arista EOS 1.0.0 bis < 4.33.0F (widersprüchliche Quellen; in der Advisory prüfen)
- Arista EOS 4.33.0F bis <= 4.33.10M
- Arista EOS 4.34.0F bis <= 4.34.8M
- Arista EOS 4.35.0F bis <= 4.35.6M
- Arista EOS 4.36.0F bis <= 4.36.2F
- Arista EOS 4.37.0F ist standardmässig nicht betroffen
- Nur Geräte mit konfiguriertem RIPv2 sind unter bestimmten Bedingungen betroffen
Behoben in
Unbekannt.
Umgehung
- RIP in jeder betroffenen VRF deaktivieren: router rip, shutdown
- Falls RIP auf Datenschnittstellen benötigt wird, prüfen, dass kein RIP-Netzwerkpräfix mit dem Management-Subnetz übereinstimmt
- Zugriff auf Management-IPs mit ACLs oder einem dedizierten Management-Netzwerk einschränken
Ausnutzung
- Keine bekannte Ausnutzung gefunden; zum Zeitpunkt der Recherche nicht im CISA-KEV-Katalog
- Im Rahmen der Recherche wurde kein öffentlicher Proof of Concept gefunden; dies beweist nicht, dass keiner existiert
Unsere Empfehlung
- Prüfen, ob RIP auf EOS-Geräten konfiguriert ist (show running-config section router rip)
- Prüfen, ob RIP-Präfixe das Management-Subnetz überschneiden
- Falls RIP nicht benötigt wird, deaktivieren
- Zugriff auf das Management auf vertrauenswürdige Segmente beschränken
- Die Arista-Advisory auf Releases mit Fixes prüfen und diese einspielen
- Advisory 0221 und CVE-2026-121287 gemeinsam prüfen, falls RIPv2 genutzt wird
- Routing-Tabellen auf unerwartete Routen überwachen
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Arista security advisory 0220 www.arista.com
- Advisory mirror ARISTA:0220 vulners.com
- Advisory 0221 mirror vulners.com
- CVE record mirror CVE-2026-121367 cve.threatint.com
- Strix CVE page CVE-2026-121367 www.strix.ai
- Arista vulnerability management process www.arista.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 14:16.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.