CVE-2026-86107: уязвимость переполнения буфера в Arista VeloCloud Edge и Gateway
В компонентах Arista Networks VeloCloud Edge и VeloCloud Gateway обнаружена уязвимость записи за границами буфера при обработке туннелированных IP-фрагментов. Проблема затрагивает только протокол туннеля VCMP и требует наличия аутентифицированного соседа по оверлею для эксплуатации. Критичность оценивается как средняя (CVSS 5.9).
Подробности
Уязвимость представляет собой запись за границами буфера (out-of-bounds write), возникающую при обработке туннелированных IP-фрагментов, которыми обмениваются аутентифицированные соседи по оверлейной сети. Проблема затрагивает исключительно протокол туннеля VCMP (VeloCloud Component Management Protocol) — другие механизмы передачи данных не затронуты. Согласно описанию, успешная эксплуатация приводит к аварийному завершению и последующему перезапуску уязвимого процесса, что вызывает временное нарушение передачи трафика. Важно отметить, что хосты в интернете, не прошедшие аутентификацию и не способные установить отношения соседства в оверлее, не могут активировать уязвимую логику. Это существенно ограничивает поверхность атаки: злоумышленнику необходимо сначала получить легитимный статус участника оверлейной сети. Уязвимости присвоен базовый балл CVSS 5.9, что соответствует средней степени критичности. Такой уровень отражает сочетание ограниченного воздействия (временная потеря доступности, а не компрометация данных или выполнение произвольного кода) и наличия предварительных условий для эксплуатации.Что делать
Компания Arista Networks выпустила Security Advisory 0180 с рекомендациями по устранению проблемы. Основная мера — обновление программного обеспечения VeloCloud Edge и VeloCloud Gateway до версий, содержащих исправление. Администраторам следует обратиться к официальному бюллетеню производителя, чтобы уточнить конкретные номера исправленных сборок для своей конфигурации. До момента установки обновлений можно применять компенсирующие меры: — ограничить круг устройств, которым разрешено устанавливать отношения соседства в оверлее VCMP, и регулярно проверять список авторизованных узлов; — сегментировать оверлейную сеть и применять принцип минимальных привилегий при настройке туннелей; — вести мониторинг перезапусков процессов на Edge и Gateway, поскольку спонтанные рестарты могут указывать на попытку эксплуатации. Также рекомендуется проверить журналы на предмет аномальной активности со стороны аутентифицированных соседей и при выявлении подозрительных событий оперативно изолировать соответствующие узлы.Итог
CVE-2026-86107 — уязвимость средней критичности, которая не позволяет неаутентифицированному атакующему из интернета нарушить работу VeloCloud, но создаёт риск временной деградации трафика при компрометации или наличии вредоносного участника оверлея. Учитывая архитектурные ограничения эксплуатации, ключевыми мерами остаются своевременное обновление ПО и строгий контроль состава доверенных соседей VCMP.Источник: CVE Project (cvelistV5)