fevar54/cve-2026-7473---arista-eos-tunnel-decapsulation-bypassVulnerabilidad: En plataformas Arista EOS afectadas con desencapsulación de túneles
README.md markdown
Este código es SOLO para fines educativos y pruebas de seguridad autorizadas.
CVE-2026-7473 es una vulnerabilidad en Arista EOS donde un switch configurado como punto de terminación de túneles (VXLAN, GRE, decap-groups) decapsula y reenvía incorrectamente paquetes tunelizados inesperados cuyo IP destino coincide con la IP de decapsulación configurada. Esto ocurre porque el switch no verifica el tipo de protocolo del túnel (CWE-1023).
| Campo | Valor |
|---|---|
| CVE | CVE-2026-7473 |
| CVSS v3.1 | 5.8 (Medium) |
| CVSS v4.0 | 6.8 |
| Vector | AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:L/A:N |
| CWE | 1023 - Incomplete Comparison with Missing Factors |
| Train | Estado |
|---|---|
| 4.36.x | Vulnerable |
| 4.35.x | Vulnerable |
| 4.34.x | Vulnerable |
| 4.33.x | Vulnerable |
| 4.32.x | Vulnerable |
| 4.31.x | Vulnerable |
| 4.30.x | Vulnerable |
| < 4.30.x | Vulnerable |
| Serie | Exposición |
|---|---|
| 7020R Series | Completamente afectado |
| 7280R/R2 Series | Completamente afectado |
| 7500R/R2 Series | Completamente afectado |
| 7280R3 Series | Exposición limitada (IP-in-IPv6, GUEv6) |
| 7500R3 Series | Exposición limitada (IP-in-IPv6, GUEv6) |
| 7800R3 Series | Exposición limitada (IP-in-IPv6, GUEv6) |
El dispositivo es vulnerable si cumple:
ip decap-group# Verificar VXLAN VTEP
show interfaces vxlan 1
# Verificar GRE tunnel
show interfaces Tunnel0
# Verificar decap-groups
show ip decap-group
🚀 Uso
Instalación
bash
git clone https://github.com/username/CVE-2026-7473-Arista-EOS-Tunnel-Bypass
cd CVE-2026-7473-Arista-EOS-Tunnel-Bypass
pip install -r requirements.txt
Escaneo de configuración vulnerable
bash
python3 arista_tunnel_bypass.py -t 10.1.1.1 -d 192.168.1.100 --check-config
Enviar GRE a switch con VXLAN
bash
python3 arista_tunnel_bypass.py -t 10.1.1.1 -d 192.168.1.100 --exploit vxlan-gre
Enviar VXLAN a switch con GRE
bash
python3 arista_tunnel_bypass.py -t 10.1.1.1 -d 192.168.1.100 --exploit gre-vxlan
Enviar todos los tipos de bypass
bash
python3 arista_tunnel_bypass.py -t 10.1.1.1 -d 192.168.1.100 --exploit all
📊 Matriz de Explotación
Configuración Tráfico Inesperado ¿Decapsula?
VXLAN IPv4 GRE ✅ Sí
VXLAN IPv4 IPoIP ✅ Sí
GRE IPv4 VXLAN ✅ Sí
GRE IPv4 IPoIP ✅ Sí
GRE Decap Group IPoIP ✅ Sí
GUE Decap Group GRE, IPoIP ✅ Sí
IP-in-IP Decap Group GRE, NVGRE, VXLAN ✅ Sí
🔍 Indicadores de Compromiso (IOCs)
Monitorear en switch
bash
# Verificar ACL counters
show mac access-lists bar
# Buscar tráfico inesperado
show log | grep -E "GRE|VXLAN|GUE|unexpected"
En red
Tráfico tunelizado apareciendo en segmentos internos no esperados
Paquetes GRE cuando solo VXLAN está configurado
Paquetes VXLAN cuando solo GRE está configurado
🛡️ Mitigación
Opción 1 - ACL en switches upstream (RECOMENDADO)
bash
# Ejemplo: Permitir solo VXLAN
ip access-list foo
counters per-entry
1 permit udp any host <vxlan-decap-ip> eq 4789
2 deny ip any host <decap-ip>
3 permit ip any any
Opción 2 - ACL en switch decapsulador (complejo)
Requiere TCAM profile update
Contactar Arista TAC para asistencia
📚 Referencias
Arista Security Advisory 0137
NVD - CVE-2026-7473
CISA KEV Catalog
⚖️ Disclaimer
Este software se proporciona "tal cual". El autor no es responsable por el uso indebido. Úselo únicamente en sistemas autorizados.