Vulnerabilidades y Avisos de Seguridad: Desbordamiento de búfer en EOS de Arista

Resumen de la alerta

Arista Networks ha corregido una vulnerabilidad crítica en Arista EOS, identificada como CVE-2026-121289. El fallo afecta al procesamiento de determinados paquetes BGP manipulados en equipos que tengan configurado BGP, una sesión BGP establecida y el modelo de enrutamiento multiagente activo.

La vulnerabilidad consiste en un desbordamiento de búfer en la pila. Su explotación podría provocar la finalización del proceso del agente de enrutamiento y el cierre de todas sus sesiones BGP. Según Arista, en determinadas circunstancias también podría permitir la ejecución de código arbitrario.

La alerta tiene severidad crítica. No obstante, la información disponible indica Explotación: No, por lo que no se han comunicado ataques activos que estén aprovechando esta vulnerabilidad.

Recursos afectados

El aviso afecta a productos basados en Arista EOS que cumplan simultáneamente estas condiciones:

• Tener BGP configurado.
• Disponer de una sesión BGP establecida.
• Utilizar el modelo de enrutamiento multiagente.

Las versiones afectadas son las siguientes:

• Rama 4.36.x, hasta 4.36.2F inclusive.
• Rama 4.35.x, hasta 4.35.6M inclusive.
• Rama 4.34.x, hasta 4.34.8M inclusive.
• Rama 4.33.x, hasta 4.33.10M inclusive.
• Ramas fuera de soporte, a partir de 4.25.1F.

Entre los productos incluidos se encuentran las series Arista 710, 720D, 720XP/722XPM, 750X, 7010TX, 7020R/R4, 7130 con EOS, 7170, 7050X3/X4, 7060X/X2/X4/X5/X6/XE7, 7260X/X3, 7280R/R2/R3/R4, 7300X/X3, 7320X, 7358X4, 7368X4, 7388X5, 7500R/R2/R3, 7800R3/R4, 7700R4, AWE 5000, AWE 7200R y ZTX-7200.

También están contemplados CloudEOS, cEOS-lab, vEOS-lab y CloudVision eXchange, tanto físico como virtual.

Descripción de la vulnerabilidad

CVE-2026-121289 es un desbordamiento de búfer en la pila durante el tratamiento de un paquete BGP manipulado. BGP es un protocolo de enrutamiento utilizado para intercambiar información sobre rutas entre sistemas autónomos y otros pares de red.

En los entornos afectados, un paquete especialmente preparado puede causar un error en el agente encargado del enrutamiento. El resultado inmediato descrito por Arista es la terminación de ese proceso y el cierre de todas las sesiones BGP gestionadas por él.

El fabricante también advierte de que, bajo determinadas circunstancias, el fallo podría utilizarse para ejecutar código arbitrario. Esta posibilidad eleva la prioridad de aplicar las actualizaciones disponibles, aunque el aviso no informa de explotación conocida.

Impacto y nivel de riesgo

El impacto potencial principal es la interrupción de las sesiones BGP del equipo afectado. En una infraestructura donde estas sesiones sean necesarias para el intercambio de rutas, su cierre puede afectar a la continuidad del enrutamiento gestionado por el dispositivo.

Además, la posible ejecución de código arbitrario indicada por Arista supondría un riesgo de mayor alcance si se lograse explotar el fallo con éxito. No obstante, esta consecuencia se describe como potencial y condicionada a determinadas circunstancias.

La vulnerabilidad ha sido clasificada como crítica. Aun así, no debe confundirse su severidad con explotación confirmada: el aviso señala expresamente que no existe explotación conocida.

Solución y medidas recomendadas

Arista recomienda actualizar los sistemas afectados a una de las siguientes versiones corregidas, o a una versión posterior de la rama correspondiente:

• 4.37.0F
• 4.36.3M
• 4.35.7M
• 4.34.9M
• 4.33.11M

Los equipos que ejecuten ramas fuera de soporte deben migrarse a una versión corregida.

Mientras se planifica y aplica la actualización, Arista propone descartar el atributo recibido 23 en aquellas sesiones BGP que no utilicen encapsulación de túneles. Asimismo, recomienda autenticar los pares BGP mediante TCP-AO para reducir la exposición.

Estas medidas temporales no sustituyen la actualización a una versión corregida.

Recomendaciones para organizaciones afectadas

1. Identificar los dispositivos físicos, virtuales y basados en cloud que ejecuten Arista EOS en las versiones afectadas.
2. Confirmar qué equipos tienen BGP configurado, sesiones BGP establecidas y el modelo de enrutamiento multiagente activo.
3. Priorizar la actualización de los sistemas expuestos a pares BGP y de aquellos cuya interrupción pueda afectar de forma significativa a los servicios de red.
4. Aplicar las mitigaciones indicadas por Arista mientras se completa el proceso de actualización, cuando resulten aplicables al diseño de red existente.
5. Migrar las instalaciones que permanezcan en ramas fuera de soporte a una versión corregida.
6. Revisar la estabilidad de las sesiones BGP tras la actualización y verificar que los sistemas afectados ejecutan una versión no vulnerable.