Уязвимость гонки в gNSI Authz Arista EOS: политика может не примениться (CVE-2026-73463)
В Arista EOS обнаружена уязвимость среднего уровня опасности (CVSS 5.3), связанная с состоянием гонки в сервисе авторизации gNSI при использовании нескольких транспортов gRPC Network Security Interface. Из-за сбоя ротации политик доступ отозванного пользователя может сохраниться. Уязвимость выявлена внутренними силами Arista, случаев эксплуатации не зафиксировано.
Подробности
Уязвимость затрагивает платформы под управлением Arista EOS, на которых сконфигурировано несколько транспортов gRPC Network Security Interface (gNSI). В сервисе авторизации gNSI Authz возникает состояние гонки (race condition): при ротации политик безопасности новый набор правил может не примениться, причём сбой происходит молча — без явных ошибок в логах или уведомлений администратору. Практическое следствие такой гонки состоит в том, что аутентифицированный пользователь, чей доступ был отозван новой политикой, способен сохранить несанкционированный доступ к gRPC-интерфейсам. Таким образом, административные меры по ограничению прав могут не вступить в силу, что создаёт риск сохранения избыточных привилегий у учётной записи. Уязвимости присвоен базовый балл CVSS 5.3, что соответствует среднему уровню опасности. Для эксплуатации требуется наличие действующей аутентификации и специфическая конфигурация с несколькими транспортами gNSI, поэтому массового воздействия не ожидается. Отмечается, что уязвимость не затрагивает Bootz. По информации Arista, проблема была обнаружена в ходе внутреннего анализа, и на момент публикации компания не располагает сведениями о злонамеренной эксплуатации данной уязвимости в сетях заказчиков.Что делать
Основная рекомендация — обновить Arista EOS до версии, содержащей исправление, согласно официальному бюллетеню Security Advisory 0169. Конкретные исправленные релизы следует уточнять в самом advisory Arista Networks, поскольку CVE-запись их не перечисляет. Если немедленное обновление невозможно, стоит рассмотреть временные меры: — минимизировать число сконфигурированных транспортов gNSI там, где это допустимо; — пересмотреть и упростить политики авторизации gNSI, чтобы снизить вероятность сбоя при ротации; — усилить мониторинг доступа к gRPC-интерфейсам и журналирование операций авторизации; — после каждой смены политик вручную проверять, что отозванные учётные записи действительно потеряли доступ; — ограничить круг лиц, имеющих аутентифицированный доступ к gRPC-интерфейсам, в соответствии с принципом наименьших привилегий. Также имеет смысл отслеживать обновления advisory Arista на предмет дополнительных деталей и уточнённых версий прошивок. Итог: CVE-2026-73463 — умеренно опасная, но требующая внимания уязвимость в Arista EOS. Она не приводит к удалённому выполнению кода, однако способна незаметно сохранить доступ отозванного пользователя к gRPC-интерфейсам, что подрывает саму логику управления привилегиями. Администраторам инфраструктуры на Arista EOS с настроенным gNSI следует приоритизировать установку исправлений и проверить актуальность политик доступа.Источник: CVE Project (cvelistV5)