Tento report byl přeložen pomocí AI; překlad zatím nikdo nezkontroloval. Původní jazyk: slovenština.
[TLP:CLEAR] Arista opravuje 6 zranitelností
Arista opravuje 6 zranitelností v produktech Arista EOS a Streaming Telemetry Agent (TerminAttr). Nejzávažnější z nich jsou popsány níže, ostatní naleznete na [1]. Jednotlivé produkty a jejich opravené verze: Streaming Telemetry Agent (TerminAttr) - 1.31.16, 1.34.13, 1.37.11, 1.40.10, 1.43.6, 1.44.1, 1.45.0 [1] Arista EOS - 4.33.9M, 4.34.8M, 4.35.6M, 4.36.1F [1] Opravné verze EOS 4.33.9M, 4.34.8M a 4.35.6M nebyly v době vydání advisory ještě dostupné. Do jejich vydání je doporučenou opravou upgrade agenta TerminAttr [1].
Autentizovanému vzdálenému útočníkovi je prostřednictvím speciálně vytvořené sady paketů umožněno upravit systémová data zařízení, pokud je agent Streaming Telemetry provozován v nestandardní konfiguraci s povoleným zápisem dat [1].
Zranitelnost se nachází v produktech:
- TerminAttr; >=1.31.0, <1.31.16; >=1.34.0, <1.34.13; >=1.37.0, <1.37.11; >=1.40.0, <1.40.10; >=1.43.0, <1.43.6; >=1.44.0, <1.44.1
- Arista EOS; >=4.31.0, <=4.31.10M; >=4.32.0, <=4.32.11M; >=4.33.0, <4.33.9M; >=4.34.0, <4.34.8M; >=4.35.0, <4.35.6M; >=4.36.0F, <4.36.1F
CVSS: CVSS:4.0/AV:N/AC:L/AT:P/PR:L/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H
Více informací:
- CVE-2026-11705 na cve.org, NVD
- CWE-250: Execution with Unnecessary Privileges na cwe.mitre.org
Zranitelnost byla veřejně oznámena 23. 6. 2026.
Neautentizovanému vzdálenému útočníkovi je v důsledku nesprávné validace certifikátu agentem Streaming Telemetry umožněno narušit důvěrnost komunikace, pokud je agent nakonfigurován s gRPC tunelem [1].
Zranitelnost se nachází v produktech:
- TerminAttr; >=1.31.0, <1.31.16; >=1.34.0, <1.34.13; >=1.37.0, <1.37.11; >=1.40.0, <1.40.10; >=1.43.0, <1.43.6; >=1.44.0, <1.44.1
- Arista EOS; >=4.31.0, <=4.31.10M; >=4.32.0, <=4.32.11M; >=4.33.0, <4.33.9M; >=4.34.0, <4.34.8M; >=4.35.0, <4.35.6M; >=4.36.0F, <4.36.1F
CVSS: CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N
Více informací:
- CVE-2026-52896 na cve.org, NVD
- CWE-295: Improper Certificate Validation na cwe.mitre.org
Zranitelnost byla veřejně oznámena 23. 6. 2026.
Autentizovanému lokálnímu útočníkovi je umožněno eskalovat svá oprávnění, pokud je agent Streaming Telemetry nakonfigurován pro streamování do CloudVision [1].
Zranitelnost se nachází v produktech:
- TerminAttr; >=1.31.0, <1.31.16; >=1.34.0, <1.34.13; >=1.37.0, <1.37.11; >=1.40.0, <1.40.10; >=1.43.0, <1.43.6; >=1.44.0, <1.44.1
- Arista EOS; >=4.31.0, <=4.31.10M; >=4.32.0, <=4.32.11M; >=4.33.0, <4.33.9M; >=4.34.0, <4.34.8M; >=4.35.0, <4.35.6M; >=4.36.0F, <4.36.1F
CVSS: CVSS:4.0/AV:L/AC:L/AT:N/PR:L/UI:N/VC:N/VI:L/VA:N/SC:H/SI:H/SA:H
Více informací:
- CVE-2026-52897 na cve.org, NVD
- CWE-269: Improper Privilege Management na cwe.mitre.org
Zranitelnost byla veřejně oznámena 23. 6. 2026.
Odkazy
Za CESNET, z.s.p.o. Henrieta Paločková dne 24. 6. 2026.