CVE-2026-7473 - Arista EOS Tunnel Decapsulation Bypass

⚠️ AVVERTENZA

Questo codice è SOLO a scopo educativo e per test di sicurezza autorizzati.

📋 Descrizione

CVE-2026-7473 è una vulnerabilità in Arista EOS in cui uno switch configurato come punto di terminazione di tunnel (VXLAN, GRE, decap-groups) decapsula e inoltra erroneamente pacchetti tunnelizzati inattesi il cui IP di destinazione corrisponde all'IP di decapsulazione configurato. Ciò accade perché lo switch non verifica il tipo di protocollo del tunnel (CWE-1023).

Dettagli tecnici

🎯 Versioni e piattaforme interessate

Versioni EOS vulnerabili

Piattaforme interessate

🔧 Configurazione richiesta per lo sfruttamento

Il dispositivo è vulnerabile se soddisfa:

1. Configurato come tunnel endpoint con IP di decapsulazione
2. Ha VXLAN VTEP, GRE tunnel endpoint oppure ip decap-group

Verificare la configurazione vulnerabile

# Verificar VXLAN VTEP
show interfaces vxlan 1

# Verificar GRE tunnel
show interfaces Tunnel0

# Verificar decap-groups
show ip decap-group

🚀 Utilizzo

Installazione

git clone https://github.com/username/CVE-2026-7473-Arista-EOS-Tunnel-Bypass
cd CVE-2026-7473-Arista-EOS-Tunnel-Bypass
pip install -r requirements.txt

Scansione della configurazione vulnerabile

python3 arista_tunnel_bypass.py -t 10.1.1.1 -d 192.168.1.100 --check-config

Inviare GRE a uno switch con VXLAN

python3 arista_tunnel_bypass.py -t 10.1.1.1 -d 192.168.1.100 --exploit vxlan-gre

Inviare VXLAN a uno switch con GRE

python3 arista_tunnel_bypass.py -t 10.1.1.1 -d 192.168.1.100 --exploit gre-vxlan

Inviare tutti i tipi di bypass

python3 arista_tunnel_bypass.py -t 10.1.1.1 -d 192.168.1.100 --exploit all

📊 Matrice di sfruttamento

🔍 Indicatori di Compromissione (IOCs)

Monitorare sullo switch

# Verificar ACL counters
show mac access-lists bar

# Buscar tráfico inesperado
show log | grep -E "GRE|VXLAN|GUE|unexpected"

In rete

• Traffico tunnelizzato che appare in segmenti interni non previsti
• Pacchetti GRE quando è configurato solo VXLAN
• Pacchetti VXLAN quando è configurato solo GRE

🛡️ Mitigazione

Opzione 1 - ACL sugli switch upstream (RACCOMANDATO)

# Ejemplo: Permitir solo VXLAN
ip access-list foo
   counters per-entry
   1 permit udp any host <vxlan-decap-ip> eq 4789
   2 deny ip any host <decap-ip>
   3 permit ip any any

Opzione 2 - ACL sullo switch di decapsulazione (complessa)

Richiede aggiornamento del profilo TCAM

Contattare Arista TAC per assistenza

📚 Riferimenti

Arista Security Advisory 0137

NVD - CVE-2026-7473

CISA KEV Catalog

⚖️ Disclaimer

Questo software è fornito "così com'è". L'autore non è responsabile per l'uso improprio. Utilizzarlo esclusivamente su sistemi autorizzati.