CVE-2026-121371

Adatlap

CVE: CVE-2026-121371
Eszköztípus: IT
Publikálva: 2026. 11. 10. 21:10
Frissítve: 2026. 11. 10. 21:10
Súlyosság: Magas
Prioritás: Kiemelt
CWE: CWE-22

CVSS-pontszámok

Verzió	Pontszám	Súlyosság	Vektor
3.1	7,5	Magas	`CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N`
4.0	8,7	Magas	`CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N`

Eredeti leírás

On affected EOS versions with the eAPI service enabled, a specially crafted HTTP request can allow an unauthenticated, remote attacker to read arbitrary files, including sensitive credentials from the switch filesystem.

Érintett termékek

EOS Arista Networks Verziók: 4.36.0F – <= 4.36.3M; 4.35.0F – <= 4.35.7M; 4.34.0F – <= 4.34.9M; 4.33.0F – <= 4.33.11M; 4.32.0F – < 4.33.0F; 1.0.0 – < 4.32.0F

Prioritás

Szint: Kiemelt
Teendő: Soron kívüli intézkedés javasolt: a szoftvert 72 órán belül frissítse. A javításig kísérje figyelemmel a sérülékenység kihasználására utaló jeleket, és ha elérhető, alkalmazza a gyártó által javasolt kerülő megoldást.

Javítás

Javított verzió: 4.33.0F, 4.32.0F
Gyártói hivatkozás: Van patch vagy gyártói közlemény a hivatkozások között

Kerülő megoldás (CNA)

switch(config)#management http-server
switch(config-mgmt-http-server)#no default-services

switch#show running-config | sect http-server
management http-server
protocol http
no default-services

Or:

switch(config)#management api http-commands
switch(config-mgmt-api-http-cmds)#no default-services

switch#show running-config | sect http-commands
management api http-commands
protocol http
no default-services
no shutdown