Arista EOS'ta kritik BGP açığı CVE-2026-121289: tek paketle BGP agent çöküyor, kod çalıştırma ihtimali var
Arista, BGP yapılandırılmış EOS cihazlarında özel hazırlanmış bir paketin BGP agent'ı çökertebildiği CVSS 9.8'lik açığı 10 Kasım'da duyurdu. Aynı gün S-BFD, PTP ve C-250/C-260 erişim noktaları için de bildirim yayımlandı.
CVE-2026-121289, CVE-2026-121295, CVE-2026-121370
Arista Networks, 10 Kasım'da yayımladığı Security Advisory 0208 ile EOS işletim sistemindeki kritik bir BGP açığını duyurdu. CVE-2026-121289 kimlikli açıkta, BGP yapılandırılmış bir cihaza gönderilen özel hazırlanmış bir paket BGP agent sürecini sonlandırıyor. Sonuç, cihazdaki tüm BGP oturumlarının düşmesi ve süreç yeniden ayağa kalkana kadar routing'in bozulması. Arista, açığın doğası gereği yetenekli bir saldırganın keyfi kod çalıştırabileceğini de dışlamıyor; NVD puanı CVSS 9.8.
Arista bildiriminde istismar raporu yer almıyor ve açık CISA KEV kataloğunda değil. Hotfix yok; tek çözüm düzeltilmiş EOS sürümüne geçmek. Aynı gün yayımlanan üç bildirim daha var: S-BFD peer olarak yapılandırılmış cihazlarda kernel çökmesine ve yeniden başlamaya yol açan CVE-2026-121295 (SA-0223, CVSS 8.6), PTP açık portlara gönderilen trafikle DoS oluşturan CVE-2026-121370 (SA-0224, CVSS 8.6) ve C-250 ile C-260 erişim noktalarında firmware doğrulamasında kullanılan, tüm cihazlarda aynı olan statik anahtarlar (CVE-2026-102166, SA-0227, CVSS 8.8).
Etkilenen ve düzeltilmiş sürümler
| Ürün | Etkilenen | Düzeltilmiş sürüm |
|---|---|---|
| Arista EOS 4.36.x | 4.36.2F ve öncesi | 4.36.3M ve sonrası |
| Arista EOS 4.35.x | 4.35.6M ve öncesi | 4.35.7M ve sonrası |
| Arista EOS 4.34.x | 4.34.8M ve öncesi | 4.34.9M ve sonrası |
| Arista EOS 4.33.x | 4.33.10M ve öncesi | 4.33.11M ve sonrası |
| Arista EOS desteği bitmiş train'ler | 4.25.1F'den itibaren tüm sürümler | Desteklenen bir train'e upgrade |
| Arista EOS 4.37.x | Etkilenmiyor | 4.37.0F ve sonrası |
| S-BFD (CVE-2026-121295), PTP (CVE-2026-121370), C-250/C-260 AP (CVE-2026-102166) | Üretici bildirimindeki liste | Üretici bildirimindeki liste |
Etkilenen platformlar arasında 7050X, 7060X, 7280R, 7500R, 7800R serileri, 720/750 kampüs anahtarları, AWE yönlendiricileri, CloudEOS ve CloudVision eXchange bulunuyor. Wi-Fi erişim noktaları, CloudVision Portal ve VeloCloud ürünleri bu BGP açığından etkilenmiyor. Tam liste SA-0208'de.
Beni etkiliyor mu?
Arista'ya göre açığın tetiklenmesi için iki koşul birlikte gerekiyor: BGP yapılandırılmış ve kurulu bir BGP oturumu olmalı, cihaz da multi-agent routing protocol modelini kullanmalı. Aşağıdaki komutlar yalnızca okuma yapar:
show version
show ip bgp summary
show running-config all | include service routing protocolsshow ip bgp summary çıktısında "BGP is not running" görüyorsanız ya da son komut multi-agent modelini göstermiyorsa bu açığa maruz değilsiniz. S-BFD için show bfd peers, PTP için show ptp çıktısıyla ilgili özelliklerin açık olup olmadığını kontrol edin.
Ne yapılmalı?
- EOS sürümünü yukarıdaki tabloyla karşılaştırın; etkilenen train'deyseniz Arista'nın önerdiği gibi o train'in en güncel sürümüne geçin. Hotfix yok.
- Upgrade'i bir change window içinde planlayın. Omurga ve sınır yönlendiricilerinde BGP oturumlarının düşmesi geniş çaplı kesinti yaratır; önce eş cihazlardan birinde deneyin.
- Upgrade'e kadar BGP peer'lerini yalnızca bilinen komşu adresleriyle sınırlayan mevcut ACL ve control plane koruma kurallarınızın yerinde olduğunu doğrulayın; dış kaynaklardan BGP portuna erişimi engelleyin.
- BGP agent yeniden başlamaları ve beklenmeyen oturum düşmeleri için syslog izleyin; tekrarlayan çökme saldırı belirtisi olabilir.
- C-250 veya C-260 erişim noktası kullanıyorsanız SA-0227'deki önerileri ayrıca inceleyin; diğer AP modelleri bu sorundan etkilenmiyor.
