Arista EOS'ta BGP sürecini çökerten ve kod çalıştırmaya yol açabilen açık kapatıldı

Arista Networks, 10 Kasım’da veri merkezi ve kampüs anahtarlarında çalışan EOS işletim sistemi ile kablosuz erişim noktaları için bir dizi güvenlik danışma notu yayımladı. Aynı gün yayımlanan CVE kayıtlarına göre danışma notları toplam 26 açığı kapsıyor. En yüksek puanlı açık, 0208 numaralı danışma notundaki CVE-2026-121289.

CVE-2026-121289

Arista’ya göre BGP’nin yapılandırıldığı EOS cihazlarında özel hazırlanmış bir paket BGP sürecinin (agent) çökmesine yol açabiliyor. Süreç sonlandığında cihazdaki bütün BGP oturumları düşüyor ve süreç toparlanana kadar ağdaki yönlendirme aksayabiliyor. Arista, açığın niteliği gereği gelişmiş bir saldırganın keyfi kod çalıştırmayı da başarabileceğini, bunun da sistemin gizliliğini ve bütünlüğünü tehlikeye atabileceğini belirtiyor.

Açık yığın tabanlı bir bellek taşması (stack-based buffer overflow). CVSS 3.1 puanı 9.8, CVSS 4.0 puanı 9.3. Açığı JP Morgan Chase’ten Joshua Foote bildirdi. Arista, açığın müşteri ağlarında kötü amaçlı kullanıldığından haberdar olmadığını yazıyor.

Arista’ya göre cihazın etkilenmesi için BGP’nin yapılandırılmış olması ve multi-agent yönlendirme protokolü modelinin kullanılması gerekiyor. BGP etkin olduğunda ve bir BGP eşleşme oturumu kurulduğunda hatalı kod yolları devrede oluyor. Kullanılan model şu komutla görülebiliyor:

show running-config all | inc service routing protocols

Çıktıda service routing protocols model multi-agent görünüyorsa ve BGP çalışıyorsa cihaz etkileniyor. BGP yapılandırılmamışsa ya da ribd modeli kullanılıyorsa cihaz bu açıktan etkilenmiyor.

Etkilenen ve düzeltilmiş sürümler

Etkilenen EOS sürümleri şunlar:

• 4.36 dalında 4.36.2F ve öncesi
• 4.35 dalında 4.35.6M ve öncesi
• 4.34 dalında 4.34.8M ve öncesi
• 4.33 dalında 4.33.10M ve öncesi
• 4.25.1F’ten başlayarak desteği sona eren dallardaki bütün sürümler

Açık 4.37.0F, 4.36.3M, 4.35.7M, 4.34.9M ve 4.33.11M sürümlerinde ve bu dalların sonraki sürümlerinde kapatıldı. Danışma notundaki listeye göre 700 ve 7000 serisi birçok anahtar, CloudEOS, cEOS-lab, vEOS-lab ve CloudVision eXchange etkileniyor. Wi-Fi erişim noktaları, CloudVision Portal ve VeloCloud ürünleri bu açıktan etkilenmiyor.

Geçici önlemler ve saldırı izi

Arista hemen güncelleme yapamayanlar için iki önlem veriyor. Tunnel Encapsulation özniteliğine ihtiyaç duymayan BGP oturumlarında, alınan bu öznitelik şu yapılandırmayla atılabiliyor:

neighbor default received attribute discard 23

İkinci önlem, yalnızca yetkili eşlerin BGP oturumu kurabilmesi için BGP eş kimlik doğrulamasında TCP-AO kullanılması.

Arista’ya göre BGP sürecinin beklenmedik biçimde çökmesi ya da yeniden başlaması istismarın işareti olabilir. Bu durumda günlüklerde ‘Bgp’ sürecinin sonlandığını bildiren PROCMGR-6-PROCESS_TERMINATED iletisi görülebiliyor.

Aynı gün yayımlanan diğer açıklar

CVE kayıtlarına göre aynı gün duyurulan açıklardan öne çıkanlar şunlar:

• CVE-2026-121371 (danışma notu 0218): eAPI servisi açık olan EOS sürümlerinde özel hazırlanmış bir HTTP isteği, kimliği doğrulanmamış uzaktaki bir saldırganın anahtarın dosya sistemindeki dosyaları, hassas kimlik bilgileri dahil okumasına izin verebiliyor.
• CVE-2026-102166 (danışma notu 0227): Arista C-260 ve C-250 erişim noktaları, firmware imajı doğrulaması ve SSLP kimlik doğrulaması için bütün cihazlarda aynı olan sabit kriptografik anahtarlarla geliyor.
• CVE-2026-121295 (danışma notu 0223): S-BFD eşi olarak yapılandırılmış cihazlarda kimliği doğrulanmamış bir saldırgan, özel hazırlanmış bir S-BFD paketiyle cihazın çekirdeğini çökertebiliyor.
• CVE-2026-121370 (danışma notu 0224): PTP yapılandırılmış cihazlarda, PTP açık bir porta ağ erişimi olan kimliği doğrulanmamış bir saldırgan hizmet dışı bırakma durumu yaratabiliyor.
• CVE-2026-120982 (danışma notu 0207): BGP eşleşme oturumu kurabilen kimliği doğrulanmamış bir saldırganın özel hazırlanmış BGP iletileriyle kullanabildiği bir açık. Açık BGP oturumlarının tekrar tekrar sıfırlanmasına ve yönlendirmenin sürekli aksamasına yol açabiliyor.

Kalan açıklar RIPv2, BFD, RPKI, 802.1X ve IPsec gibi özelliklerin yapılandırıldığı cihazları etkiliyor. Bu danışma notlarını tek tek okumadık, bilgiler Arista’nın yayımladığı CVE kayıtlarına dayanıyor.

Önerilen önlemler

Arista, etkilenen cihazların her dalın bütün düzeltmeleri içeren en son sürümüne yükseltilmesini öneriyor. BGP kullanan ve internete ya da başka kurumlara BGP ile bağlanan cihazlara öncelik verilmesi, güncelleme yapılana kadar geçici önlemlerden birinin uygulanması yerinde olur.