FICHE CVE

CVE-2026-73439

Publiée le 2026-09-16 · Dernière modification le 2026-09-17

🇫🇷 EN BREF

Les appareils Arista EOS exécutant un serveur gNMI avec des politiques Pathz spécifiques sont concernés. Un attaquant disposant d'identifiants valides de bas niveau peut contourner les restrictions d'accès pour lire ou écrire dans des chemins de configuration sensibles auxquels il ne devrait pas avoir accès. Cela peut être exécuté via le réseau sans interaction de l'utilisateur, à condition que les règles de groupe et d'utilisateur conflictuelles spécifiques soient présentes dans la politique.

CVSS 4.07.7 ÉLEVÉE

Type de faiblesse

CWE-842

Publiée2026-09-16

Dernière modification2026-09-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaquePrésent

Privilèges requisFaibles

Interaction utilisateurAucune

Confidentialité (système vulnérable)Élevée

Intégrité (système vulnérable)Élevée

Disponibilité (système vulnérable)Élevée

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

psirt@arista.com

Description officielle du NVD (en anglais)

On affected platforms running Arista EOS, if OpenConfig is configured and running a gNMI server on the system, and if gNSI Pathz is configured and a gNSI Pathz policy is present on the system, then gNMI may fail to correctly enforce the rules in this policy if both a group rule and a user rule for the same path is present in the policy. Under certain conditions, this can lead to an authenticated user gaining unauthorized permission to read or write gNMI paths that the Pathz policy is intended to restrict.