Arista corrige dos fallos OIDC en CloudVision Portal on-prem
El advisory de Arista 0186 cubre dos fallos SSRF en CloudVision Portal on-prem cuando se configura OIDC SSO. No hay explotación conocida; las versiones corregidas incluyen 2026.3.0.
Arista actualizó el 13 de octubre su Security Advisory 0186 para dos vulnerabilidades de CloudVision Portal instalado en las instalaciones del cliente. Ambas requieren que esté configurado el inicio de sesión único mediante OIDC; no afectan a despliegues con otros métodos SSO ni al resto de la cartera Arista. La compañía afirma que las descubrió internamente y que no conoce explotación maliciosa en entornos de clientes.
Dos fallos, una condición de configuración
CVE-2026-101149 afecta a la validación de la configuración del proveedor OIDC. Un usuario con privilegios elevados y la configuración adecuada podría dirigir peticiones a destinos arbitrarios. CVE-2026-101150 es similar, pero afecta a la validación de tokens Bearer; además de OIDC, requiere que esté habilitado «Allow Bearer Token Login» en la gestión del clúster. Arista las clasifica como SSRF, con puntuaciones 4,1 en CVSS 3.1 y 5,1 en CVSS 4.0 para cada CVE.
El alcance está limitado a CloudVision Portal virtual o físico. Arista excluye expresamente productos EOS, CloudVision as-a-Service, CloudVision CUE y CV-CUE on-premises, entre otros. No se trata de una vulnerabilidad en el sistema operativo EOS de los switches: el producto afectado es el portal local de gestión de red. Esa distinción evita que un inventario de switches convierta el aviso en una actualización de firmware de toda la red.
-InfraCrew dice: el hecho de que el switch no esté afectado es buena noticia; descubrir que el portal de gestión sí lo está en una VM olvidada, bastante menos.-
Versiones vulnerables y arreglo
Para CVE-2026-101149, Arista lista CloudVision Portal 2026.2.0, versiones 2026.1.x hasta 2026.1.2, 2025.3.x hasta 2025.3.3 y las versiones anteriores hasta 2020.3.0. Para CVE-2026-101150, el rango comienza en 2023.3.0, con los mismos límites superiores en ramas actuales. La segunda CVE tiene un historial afectado más corto, así que verifica ambas filas en vez de extrapolar el rango de una a la otra.
La revisión 1.1 del aviso, publicada el 13 de octubre, añadió 2026.3.0 a la lista de correcciones. El fabricante también da como versiones fijas 2026.2.1 o posterior, 2026.1.3 o posterior y 2025.3.4 o posterior. No hay hotfix disponible: la resolución recomendada es actualizar a la release corregida más reciente de la rama correspondiente.
Comprobaciones prácticas
El advisory explica cómo comprobar si existe un proveedor OAuth configurado y, para la segunda CVE, si está habilitado el login por token Bearer. También recomienda restringir a personal de confianza los permisos de configuración AAA y gestión de cuentas. No hay mitigación basada solo en configuración para eliminar estos fallos; Arista menciona cambiar a un método SSO no OIDC si resulta viable, además de actualizar cuanto antes.
El nivel de riesgo debe mantenerse proporcionado: se necesita un usuario con privilegios altos y una configuración concreta; no hay explotación conocida según Arista y no publica indicadores de compromiso. Eso no vuelve irrelevante un portal de gestión expuesto, pero sí cambia la urgencia frente a un fallo explotado sin autenticación. Empieza por confirmar instalación, versión y configuración, y planifica el upgrade según la guía de CloudVision para no mezclarlo con EOS o con servicios SaaS que el aviso excluye.
-InfraCrew dice: una consola de gestión rara vez aparece en el diagrama de red hasta el día en que el aviso la convierte en protagonista.-
-InfraCrew dice: «solo usamos SSO» no responde si el proveedor está configurado con OIDC ni si el login por token está encendido.-
-InfraCrew dice: el rango de versiones es el lugar donde un inventario genérico suele empezar a pedir detalles.-
Diccionario de la Crew
OIDC — Protocolo de identidad que permite delegar autenticación sobre OAuth 2.0.
SSRF — Vulnerabilidad que permite inducir al servidor a realizar peticiones a destinos arbitrarios.
Token Bearer — Credencial cuyo portador obtiene acceso, sin demostrar posesión de una clave adicional.
