Mobile-Menu

Einfallstor im VxLAN-Traffic Arista EOS gefährdet sensible Daten

Von Thomas Joos 2 min Lesedauer

Anbieter zum Thema

Arista Networks GmbH
Vogel IT-Medien GmbH
Fsas Technologies GmbH
SEPPmail - Deutschland GmbH

Eine neue Schwachstelle in Arista EOS gefährdet die Integrität verschlüsselter VxLAN-Verbindungen. Unter bestimmten Bedingungen werden Datenpakete im Klartext übertragen – ein Risiko für Netzwerke mit aktiviertem Secure VxLAN.

Eine kritische Schwachstelle in Arista EOS gefährdet VxLAN-Verbindungen, indem sie Datenpakete im Klartext überträgt. Betroffene Organisationen sollten umgehend auf gepatchte Versionen aktualisieren.(Bild: Midjourney / KI-generiert)
Eine kritische Schwachstelle in Arista EOS gefährdet VxLAN-Verbindungen, indem sie Datenpakete im Klartext überträgt. Betroffene Organisationen sollten umgehend auf gepatchte Versionen aktualisieren.
(Bild: Midjourney / KI-generiert)

Die Sicherheitslücke mit der Kennung CVE-2024-12378 betrifft mehrere Software-Releases des Arista EOS-Betriebssystems, wenn dort Secure VxLAN aktiviert ist. Sobald der Tunnelsec-Dienst auf betroffenen Plattformen neu gestartet wird, sendet das System Verkehr über die gesicherten VxLAN-Tunnel unverschlüsselt. Das Problem wurde am 8. April 2025 öffentlich gemacht und erhielt einen CVSSv3.1-Basiswert von 9.1.

Im Mittelpunkt steht dabei ein Fehler im Zusammenhang mit der Verwaltung des Tunnelzustands durch den Tunnelsec-Agent. Wird dieser Prozess neu gestartet, ändern sich bestehende VxLAN-Verbindungen zwar nicht im Status der Verbindung selbst, doch die Verschlüsselung entfällt. Die Folge: Pakete verlassen die betroffenen Systeme im Klartext, ohne dass dies unmittelbar durch gängige Monitoring-Werkzeuge erkennbar wäre. Nur ein Wechsel vom Status „Established“ zu „Connected“ im Befehl „show ip security connection“ gibt einen Hinweis.

Diese Geräte sind betroffen

Von der Schwachstelle betroffen sind ausgewählte Varianten der 7280CR3MK-Serie. Alle anderen Serien wie 7010, 7130, 7358X4 oder CloudEOS zeigen laut Arista keine Anfälligkeit. Ebenso ausgeschlossen sind virtuelle und Cloud-basierte Plattformen wie CloudVision sowie Systeme, die nicht mit aktiviertem Secure VxLAN arbeiten.

Ein sofortiger Fix steht derzeit nicht als Hotfix zur Verfügung. Die einzig wirksame Sofortmaßnahme besteht darin, die Security-Profile für jedes betroffene VTEP neu anzuwenden. Das erfordert eine manuelle Neukonfiguration auf der Kommandozeile. Für eine nachhaltige Behebung empfiehlt Arista die zeitnahe Aktualisierung auf eine gepatchte Version. Die behobenen Versionen beginnen mit 4.32.3M, 4.33.0F oder jeweils späteren Releases.

Betreiber, die nicht sicher sind, ob ihre Umgebung betroffen ist, können über die Ausgabe von „show ip security connection“ feststellen, ob überhaupt Secure VxLAN aktiv ist. Ist das nicht der Fall, besteht keine Verwundbarkeit.

Noch keine Angriffe identifiziert

Da keine aktiven Angriffe bekannt sind, stuft Arista das Risiko als bislang theoretisch ein. Dennoch sollten Organisationen, die auf sichere VxLAN-Tunnel angewiesen sind, umgehend reagieren. Ein Update auf eine abgesicherte EOS-Version stellt die einzige verlässliche Methode dar, um Klartextübertragungen im Backbone zu verhindern.

(ID:50396000)

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Weiterführende Inhalte