# 检查 VXLAN VTEP
show interfaces vxlan 1

# 检查 GRE 隧道
show interfaces Tunnel0

# 检查 decap-groups
show ip decap-group
🚀 使用方法
安装
bash
git clone https://github.com/username/CVE-2026-7473-Arista-EOS-Tunnel-Bypass
cd CVE-2026-7473-Arista-EOS-Tunnel-Bypass
pip install -r requirements.txt
扫描易受攻击的配置
bash
python3 arista_tunnel_bypass.py -t 10.1.1.1 -d 192.168.1.100 --check-config
向 VXLAN 交换机发送 GRE
bash
python3 arista_tunnel_bypass.py -t 10.1.1.1 -d 192.168.1.100 --exploit vxlan-gre
向 GRE 交换机发送 VXLAN
bash
python3 arista_tunnel_bypass.py -t 10.1.1.1 -d 192.168.1.100 --exploit gre-vxlan
发送所有绕过类型
bash
python3 arista_tunnel_bypass.py -t 10.1.1.1 -d 192.168.1.100 --exploit all
📊 利用矩阵
配置	意外流量	是否解封装？
VXLAN IPv4	GRE	✅ 是
VXLAN IPv4	IPoIP	✅ 是
GRE IPv4	VXLAN	✅ 是
GRE IPv4	IPoIP	✅ 是
GRE Decap Group	IPoIP	✅ 是
GUE Decap Group	GRE, IPoIP	✅ 是
IP-in-IP Decap Group	GRE, NVGRE, VXLAN	✅ 是
🔍 入侵指标（IOCs）
在交换机上监控
bash
# 检查 ACL 计数器
show mac access-lists bar

# 查找意外流量
show log | grep -E "GRE|VXLAN|GUE|unexpected"
在网络上
隧道流量出现在意外的内部网段

仅配置了 VXLAN 时出现 GRE 数据包

仅配置了 GRE 时出现 VXLAN 数据包

🛡️ 缓解措施
选项 1 - 上游交换机的 ACL（推荐）
bash
# 示例：仅允许 VXLAN
ip access-list foo
   counters per-entry
   1 permit udp any host <vxlan-decap-ip> eq 4789
   2 deny ip any host <decap-ip>
   3 permit ip any any
选项 2 - 解封装交换机的 ACL（复杂）
需要更新 TCAM profile

请联系 Arista TAC 获取协助

📚 参考
Arista Security Advisory 0137

NVD - CVE-2026-7473

CISA KEV Catalog

⚖️ 免责声明
本软件按“原样”提供。作者不对滥用行为负责。请仅在授权系统上使用。