Critical Command Injection Vulnerability in Arista NG Firewall (CVE-2025-6978)
A security flaw in Arista's NG Firewall could allow an attacker to remotely execute unauthorized commands as a root user. Users are urged to upgrade to version 17.4 or higher to protect their networks.
English Brief
A security flaw in Arista's NG Firewall could allow an attacker to remotely execute unauthorized commands as a root user. Users are urged to upgrade to version 17.4 or higher to protect their networks.
الموجز العربي
ثغرة حقن الأوامر الحرجة في جدار حماية Arista NG (CVE-2025-6978)
تم اكتشاف ثغرة أمنية في جدار حماية Arista NG قد تسمح للمهاجمين بتنفيذ أوامر غير مصرح بها عن بُعد بصلاحيات كاملة. يُنصح المستخدمون بالترقية إلى الإصدار 17.4 أو أعلى لحماية شبكاتهم.
- 1Restrict administrative access to trusted management subnets only.
- 2Upgrade Arista NG Firewall to version 17.4 or higher.
- 3Monitor /admin/JSON-RPC for suspicious POST requests containing backticks (`) or single quotes (').
English Advisory
// Intelligence Summary
CVE-2025-6978 is a command injection vulnerability affecting the Arista NG Firewall (formerly Untangle). An authenticated remote attacker can exploit insufficient input validation within the runTroubleshooting() method of the JSON-RPC interface to achieve arbitrary command execution with root-level privileges.
التقرير العربي
// ملخص استخباراتي
تعد ثغرة CVE-2025-6978 ثغرة حقن أوامر تؤثر على جدار حماية Arista NG (المعروف سابقاً باسم Untangle). يمكن للمهاجم الذي يمتلك صلاحيات الوصول عن بُعد استغلال ضعف في التحقق من المدخلات ضمن أسلوب runTroubleshooting في واجهة JSON-RPC لتنفيذ أوامر عشوائية بصلاحيات جذر (root).
// Technical Context
The vulnerability originates in the NetworkManagerImpl class, specifically within the runTroubleshooting method. While the application attempts to sanitize inputs by checking for common shell metacharacters (e.g., ;, |, >, $), the filter is incomplete. It fails to account for the backtick (`) character. When the system processes input parameters, it creates environment variables and passes them to the network-troubleshooting.sh script, which eventually invokes the eval command, leading to code execution.
// السياق الفني
تنشأ الثغرة في فئة NetworkManagerImpl، وتحديداً ضمن أسلوب runTroubleshooting. بينما تحاول التطبيقات تنقية المدخلات من خلال البحث عن رموز الأوامر الشائعة (مثل ; و | و > و $)، فإن هذا الفلتر غير مكتمل؛ إذ لا يشمل رمز "الباكتيك" (`). عند معالجة هذه المدخلات، يتم إنشاء متغيرات بيئة تمرر إلى البرنامج النصي network-troubleshooting.sh، والذي يستخدم الأمر eval، مما يؤدي إلى تنفيذ التعليمات البرمجية.
// Exposure Notes
The attack requires the adversary to be authenticated to the administrative web interface. The exploitation vector involves sending a crafted JSON-RPC request to /admin/JSON-RPC, where the HOST or URL parameters contain malicious shell metacharacters not blocked by the existing filter.
// ملاحظات التعرض
يتطلب هذا الهجوم من المهاجم أن يكون مصادقاً عليه للوصول إلى واجهة الإدارة. يتم تنفيذ الهجوم عن طريق إرسال طلب JSON-RPC معد خصيصاً إلى المسار /admin/JSON-RPC، حيث تحتوي معاملات HOST أو URL على رموز صدفيّة (shell metacharacters) لا يقوم الفلتر الحالي بحظرها.
// Defensive Priority
Immediate patching is the primary defense. Arista has addressed this issue in version 17.4. Administrators should restrict access to the administrative management interface to trusted internal networks only until updates can be applied.
// أولوية الدفاع
التحديث الفوري هو خط الدفاع الأول. قامت شركة Arista بمعالجة هذه الثغرة في الإصدار 17.4. يجب على مسؤولي الشبكات تقييد الوصول إلى واجهة الإدارة لتقتصر على الشبكات الداخلية الموثوقة فقط حتى يتم تطبيق التحديثات.
Mitigation Checklist
- 1Restrict administrative access to trusted management subnets only.
- 2Upgrade Arista NG Firewall to version 17.4 or higher.
- 3Monitor /admin/JSON-RPC for suspicious POST requests containing backticks (`) or single quotes (').
قائمة إجراءات التخفيف
- 1تقييد الوصول إلى واجهة الإدارة بحيث يقتصر فقط على الشبكات الفرعية الموثوقة.
- 2ترقية جدار حماية Arista NG إلى الإصدار 17.4 أو أحدث.
- 3مراقبة سجلات طلبات POST الموجهة إلى /admin/JSON-RPC بحثاً عن أي رموز غير طبيعية مثل (`) أو (').
- /admin/JSON-RPC
# 1. Restrict administrative access to trusted management subnets only.
# 2. Upgrade Arista NG Firewall to version 17.4 or higher.
# 3. Monitor /admin/JSON-RPC for suspicious POST requests containing backticks (`) or single quotes (').