La CISA añadió tres vulnerabilidades activamente explotadas a su catálogo, afectando a Cisco Catalyst, Google Chrome y Arista EOS. Destaca que Arista no planea lanzar parches para su falla debido a riesgos de configuración, sugiriendo el uso de ACL como mitigación. Las agencias federales de EE. UU. deben aplicar las correcciones antes del 23 de junio de 2026.



 La Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) añadió el martes tres nuevas vulnerabilidades a su catálogo de Vulnerabilidades Explotadas Conocidas (KEV KEV), tras informes de explotación activa.

La lista de vulnerabilidades es la siguiente:

• * CVE-2026-20245 (puntuación CVSS: 7.8) - Una vulnerabilidad de codificación o escape incorrecto de la salida en Cisco Catalyst SD-WAN Manager que podría permitir a un atacante local autenticado ejecutar comandos arbitrarios como root al proporcionar un archivo manipulado al sistema afectado.
• * CVE-2026-11645 (puntuación CVSS: 8.8) - Una vulnerabilidad de lectura y escritura fuera de límites en Google Chrome V8 que podría permitir a un atacante remoto ejecutar código arbitrario dentro de un sandbox a través de una página HTML manipulada.
• * CVE-2026-7473 (puntuación CVSS: 6.9) - Una vulnerabilidad de comparación incompleta con factores faltantes en Arista Extensible Operating System (EOS) que podría ser explotada para procesar tráfico de túnel no configurado.

No hay parche planeado para el fallo explotado de Arista EOS

"En las plataformas afectadas que ejecutan Arista EOS donde esté presente una configuración de descapsulación de túneles, como VXLAN (Virtual Extensible LAN), grupos de decap o una interfaz de túnel GRE (Generic Routing Encapsulation), el switch descapsulará y reenviará incorrectamente otros paquetes tunelizados inesperados con una IP de destino que coincida con su IP de descapsulación configurada", afirmó Arista.

"Esto ocurre porque el switch no verifica el tipo de protocolo de túnel, lo que podría conducir al procesamiento inesperado de tráfico de túnel no configurado".

El defecto de seguridad afecta principalmente a los productos de las series 7020R, 7280R/R2 y 7500R/R2. Sin embargo, para que se produzca una explotación exitosa, tu dispositivo debe estar configurado como un endpoint de túnel con una IP de descapsulación, como un VTEP de VXLAN, un endpoint de túnel GRE o con un grupo de decap de IP.

La empresa de equipos de red reconoció que la vulnerabilidad ha sido "reportada como explotada en entornos reales", dando crédito a Scott Christiansen, Lukas Peitz, Rich Compton y Jonathan Davis de Comcast por divulgarla responsablemente.

A pesar de esto, Arista señaló que no se planean parches para solucionar la CVE-2026-7473, citando riesgos de que hacerlo podría romper configuraciones existentes en los despliegues. La empresa ha detallado mitigaciones para abordar el problema.

"Hay dos enfoques generales para mitigar este problema: (1) aplicar ACL en los dispositivos upstream o (2) aplicar ACL en los dispositivos donde ocurre la descapsulación inesperada", dijo Arista. "En ambos casos, la idea es permitir selectivamente solo el tráfico de túnel legítimo o bloquear selectivamente el tráfico de túnel malicioso".

Se ha ordenado a las agencias de la Rama Ejecutiva Civil Federal (FCEB) que apliquen las correcciones o mitigaciones necesarias antes del 23 de junio de 2026 para contrarrestar la amenaza que representan estas tres vulnerabilidades.

Fuente:
THN