Dos 10.0 a Arista EOS i cap hotfix: ho decideix la teva configuració, no la teva versió

Un 10.0 sobre 10 és la nota màxima que pot treure una vulnerabilitat. No hi ha res per damunt. Arista en va publicar dues al setembre, totes dues a EOS, totes dues en switches de centre de dades, i totes dues amb la mateixa frase a l'apartat de resolució: «There is no hotfix for this issue». Van passar amb un soroll cridanerament baix per a aquella puntuació.

El motiu d'aquest silenci és la part que ens interessa, i no és que a ningú no li importi. És que ningú no pot dir a quants equips afecten. Les dues funcions implicades venen apagades de fàbrica, de manera que l'exposició no es dedueix de la versió instal·lada: es dedueix de si algú, un dia, va escriure una línia a la configuració. I això no hi ha titular que ho resumeixi ni escàner que ho contesti. Ho contesta qui pugui teclejar dues ordres als teus switches.

Els dos avisos, en curt

El primer és l'avís 0174, CVE-2026-73453, publicat el 9 de setembre de 2026 i revisat a 1.1 el 22. CVSS 3.1 base 10.0, vector AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H; en CVSS 4.0 baixa a 9,5. Classificat com a CWE-94, injecció de codi. La descripció no fa voltes: un client no autenticat de P4Runtime pot, manipulant un paquet durant l'arrencada de la sessió, executar codi arbitrari al switch. Arista hi afegeix que el va trobar internament i que no té constància d'ús maliciós en xarxes de clients.

El segon és l'avís 0158, amb dos identificadors. CVE-2026-73456: en un equip amb gNPSI activat, «an unauthenticated gNPSI client can craft a malicious request to allow arbitrary code execution», amb control administratiu complet del switch. També CVSS 3.1 10.0, també CWE-94; en CVSS 4.0, 9,2. I enganxat a ell, CVE-2026-73457, de 5,3: les credencials del client gNPSI poden acabar registrades en text clar als logs d'accounting, locals o remots, i visibles per a usuaris autenticats. CWE-532. Hi tornarem, que és el que triga més a fer mal.

Les versions afectades no són les mateixes als dos avisos, i la diferència importa. El 0174 arriba lluny: 4.36.1F i anteriors, 4.35.5M i anteriors, 4.34.7M i anteriors, totes les de 4.33.x, 4.32.x, 4.31.x i 4.30.x, i des de la 4.29.2F a la branca 4.29. El 0158 és molt més estret: només 4.36.1F i anteriors, 4.35.5M i anteriors i el tram 4.34.2F–4.34.7M. És a dir, si ets en una 4.30 amb gNPSI encès, aquell deu no és teu. La llista de plataformes del 0174 és llarga i força reconeixible —710, 720, 750, 7010TX, 7020R, 7050X3/X4, 7060X, 7130 amb EOS, 7170, 7260X3, 7280R, 7300X3, 7500R, 7800R3/R4, CloudEOS, cEOS-lab, vEOS-lab, CloudVision eXchange, entre d'altres— i convé fixar-se també en el que no hi és: punts d'accés wifi, CloudVision CUE, Portal i AGNI, i els 7130 amb MOS (compte: els 7130 amb EOS sí que hi són). La bona notícia operativa, si se li pot dir així: les versions corregides són les mateixes per als dos avisos, 4.36.2F, 4.35.6M i 4.34.8M en endavant. Un salt tanca tots dos.

Per què és 10.0 i no 9,8: la lletra que gairebé ningú no mira del vector

El perfil habitual d'una «execució remota sense autenticar» és 9,8. Aquest és 10.0, i la diferència és en una sola lletra del vector: S:C, Scope: Changed. Vol dir que l'impacte no es queda dins del component vulnerable. A CVSS, l'abast canvia quan la vulnerabilitat en una peça permet afectar recursos gestionats per una altra autoritat de seguretat diferent.

Traduït a la teva planta: el switch no és l'objectiu, és el pas. Un equip que commuta trànsit de diverses VLAN, de diversos inquilins o de diverses seus no guarda res que valgui la pena robar, però veu i toca tot el que hi travessa. Aquella lletra és la raó que la puntuació arribi al màxim, i és també la raó que la conversa correcta no sigui «cal pedaçar un switch» sinó «cal decidir què passa per aquell switch i qui hi pot parlar». Això no és nou; ho vam escriure fa unes setmanes a propòsit d'una altra cosa: . El patró es repeteix cada vegada que el pla de gestió i el pla de dades comparteixen camí.

Les dues interfícies no són exòtiques: són les que vas encendre per veure-hi

Aquí hi ha l'incòmode. P4Runtime és la interfície per la qual un controlador programa el comportament del pla de dades. gNPSI, gRPC Network Packet Sampling Interface, és per on el switch lliura mostres de paquets a un col·lector. Cap de les dues és un caprici de laboratori: una és programabilitat i l'altra és telemetria. Totes dues existeixen perquè un sistema extern vegi i dirigeixi la xarxa.

Totes dues venen apagades. L'avís 0174 ho diu amb totes les lletres —«P4Runtime is disabled by default in Arista EOS»— i el mateix passa amb gNPSI. D'aquí se segueix una conclusió que no és còmoda d'escriure: el switch exposat a aquests dos deus no és el vell i oblidat, és el que algú va modernitzar. El que es va ficar en un pilot de telemetria, el que es va connectar a un col·lector per tenir per fi mostres de trànsit, el que va deixar de ser una caixa cega. Qui va fer aquella feina la va fer bé i per bons motius. I és l'equip que cal mirar avui.

«No hi ha hotfix» canvia el calendari, no només la tasca

Arista permet normalment aplicar pedaços en calent mitjançant extensions. Per a aquests dos, no: «There is no hotfix for this issue». Això converteix la resposta en un canvi de versió d'EOS, i un canvi de versió d'EOS en un switch de producció no és un tiquet: és una finestra, un ordre d'arrencada, una comprovació d'adjacències i un pla de tornada enrere. Si l'equip està en parella MLAG, a més, són dues finestres i una verificació pel mig.

Per això l'avís ofereix una sortida intermèdia que val la pena llegir sencera, perquè no és «apaga-ho» sinó «posa-hi autenticació». La mitigació que publica Arista per a P4Runtime és aixecar el servei en mode mTLS i exigir autorització per certificat de client. Així es veu una configuració ja mitigada, tal com la imprimeix l'avís:

p4-runtime
   no shutdown
   !
   transport grpc foo
      ssl profile campus
      authentication username priority x509-spiffe

management security
   ssl profile campus
      certificate server.crt key server.key
      trust certificate ca.crt

management api gnsi
   service authz

Llegeix-ho a poc a poc i veuràs el que de debò diu: que l'estat per defecte d'aquella interfície és sense certificat i sense autorització. No és un descuit d'Arista; és l'herència d'un munt d'interfícies gRPC de gestió que es van dissenyar donant per fet que vivien en una xarxa d'administració de confiança. Aquella suposició era raonable quan el col·lector era al mateix armari. Deixa de ser-ho tan bon punt el col·lector és una màquina virtual en una altra subxarxa, o un SaaS.

El 5,3 és el que et farà mal d'aquí a un any

CVE-2026-73457 treu un 5,3 i per això quedarà fora de gairebé tots els informes. Diu que les credencials del client gNPSI poden quedar escrites en text clar als registres d'accounting, locals o remots. Fixem-nos en el «remots». Aquells registres són precisament els que vas configurar per tenir traçabilitat: surten de l'equip, arriben a un servidor TACACS+ o a un recol·lector de syslog, es conserven per política durant mesos i s'exporten quan algú els demana.

La puntuació mesura el dany al switch. La conseqüència real és a l'altre extrem del cable: un sistema que té com a propòsit conservar i compartir ha passat a guardar secrets sense que ningú ho decidís. I actualitzar EOS no neteja el que ja hi ha escrit. Si en el teu cas gNPSI estava actiu, la tasca no s'acaba amb el salt de versió: cal rotar aquelles credencials i cal mirar fins on han arribat les còpies d'aquells registres. És feina avorrida i és la que distingeix un incident tancat d'un que ho sembla.

La comprovació de vint segons

Els dos avisos porten les seves pròpies ordres de verificació, i aquest és l'entregable d'aquest post. No cal interpretar-les: cal executar-les i llegir-les.

switch> show p4-runtime
switch> show management api gnpsi
switch> show trace Gnpsi | grep Auth

El criteri de lectura del primer el dona el mateix avís: si la sortida diu Enabled: no, no hi ha exposició a aquella vulnerabilitat. Punt. La segona et diu si gNPSI està aixecat, i la tercera —que també la publica Arista— és la que et deixa veure l'autenticació dels clients que han arribat a aquella interfície. Vint segons per equip, menys si tens automatitzat l'inventari. I si la xarxa la porta un tercer, no cal que l'executis tu: cal que algú t'enviï per escrit la sortida de les dues ordres a cada switch, amb data. Que et diguin «estem coberts» no és una resposta; la sortida de l'ordre sí.

Els tres camps que falten a gairebé tots els inventaris de xarxa

La part que sobreviu a aquest avís concret és aquesta, i val per a qualsevol fabricant. Un inventari de xarxa normal guarda model, número de sèrie, versió de microprogramari, adreces de gestió i, amb sort, la data de l'última actualització. Amb aquelles dades pots contestar «quina versió tinc?», que és una pregunta que avui no serveix. Hi falten tres camps:

• Quins serveis de gestió i telemetria estan encesos en aquell equip, pel seu nom. No «té gestió»: gNMI, gNPSI, gNOI, P4Runtime, NETCONF, REST, SNMP, el que sigui. És la llista que decideix a quins avisos has de fer cas i a quins no.
• A quina VRF escolten. Un servei a la VRF de gestió, amb la seva ACL, és un risc acotat; el mateix servei escoltant a la VRF per defecte és una cosa completament diferent. És el mateix CVE i no és el mateix problema.
• Si exigeixen certificat de client, o es conformen que hi arribis. Aquesta és la que de debò separa un avís que et pren la tarda d'un que et pren el trimestre, i és la que mai no està escrita enlloc.

Nosaltres portem la xarxa documentada a NetBox com a font de veritat, i aquests tres camps no vénen de sèrie enlloc: cal decidir posar-los i cal decidir qui els manté. És exactament la mateixa feina que descrivíem a 43 CVE al switch de fibra de la teva cabina, i cap no és crítica, on el problema no era la gravetat de res sinó que aquell equip no tenia amo. Un inventari que no sap què hi ha encès no és un inventari: és una llista de la compra antiga.

A qui no li toca, i per què dir-ho importa

Si les dues ordres diuen que no, això no va amb tu. Ni finestra, ni salt de branca, ni reunió. I val la pena dir-ho amb la mateixa claredat amb què s'explica la mala notícia, perquè el cost de no comprovar-ho té dues cares: una és deixar un deu obert; l'altra, menys comentada, és obrir una finestra de matinada que no calia gens, gastar el crèdit d'interrupcions del trimestre i arribar-hi sense ell a l'avís que sí que importava. Una severitat condicional mal llegida costa diners en totes dues direccions.

I un aclariment que toca fer: res d'això és un argument contra Arista. No som revenedors seus ni de ningú, i un mes després, el 7 d'octubre, un altre fabricant va publicar mitja dotzena de vulnerabilitats del seu sistema operatiu de switching trobades també en revisió interna. Trobar i publicar errors propis és el que fa un fabricant seriós; l'alternativa és que els trobi un altre. El que sí que és criticable, i és transversal a tot el sector, és que una interfície de gestió moderna continuï arrencant sense autenticació perquè «és a la xarxa de gestió». Aquella xarxa de gestió, en més d'una casa que hem vist, és una VLAN amb bona intenció.

El que faríem aquesta setmana

Primer, les dues ordres a tots els switches, i la sortida desada amb data. Segon, per als que surtin activats: decidir entre apagar la funció si el pilot de telemetria va morir fa any i migo aixecar-la en mTLS amb autorització per certificat, que és el que el fabricant signa. Tercer, programar el salt a 4.36.2F, 4.35.6M o 4.34.8M amb la calma de qui sap a quants equips afecta i no amb la pressa de qui no ho sap. I quart, obrir els tres camps a l'inventari, perquè l'avís que ve d'aquí a dos mesos tornarà a preguntar el mateix.

Fonts (consultades el 15-10-2026): CVE-2026-73453, la puntuació 10.0 amb el seu vector i el 9,5 de CVSS 4.0, la classe CWE-94, les dates de publicació (9-09-2026) i revisió 1.1 (22-09-2026), la llista de versions i plataformes afectades i no afectades, la frase «P4Runtime is disabled by default in Arista EOS», l'ordre show p4-runtime amb el criteri «Enabled: no», el fragment de configuració de mitigació en mTLS, les versions corregides i la frase «There is no hotfix for this issue» surten de l'avís 0174 d'Arista Networks. CVE-2026-73456 i CVE-2026-73457, les seves puntuacions (10.0 i 5,3 en CVSS 3.1; 9,2 i 6,0 en CVSS 4.0), les classes CWE-94 i CWE-532, el registre de credencials en text clar en logs d'accounting locals o remots, l'ordre show management api gnpsi, l'estat apagat per defecte de gNPSI i les seves versions corregides, de l'avís 0158 d'Arista Networks. La definició de Scope: Changed és de l'especificació CVSS 3.1 de FIRST. La mitja dotzena de vulnerabilitats publicades el mateix mes per un altre fabricant, de l'avís cisco-sa-hardening-nxosw1-cWzSbtR, del 7 d'octubre de 2026. El que és nostre, i ho acotem: la lectura de la lletra S:C aplicada a un switch de pas, l'observació que l'equip exposat és el que algú va modernitzar, l'argument dels dos costos de no comprovar i els tres camps d'inventari.