Arista VeloCloud CVE-2026-114625: un cont de citire ajunge

Ce confirmă Arista

Avizul 0199 (revizia 1.0, 22 octombrie) descrie un defect prin care un atacator la distanță poate ajunge la funcționalități interne privilegiate și poate afecta gazda VCO. Orice utilizator autentificat poate obține privilegii de operator și poate acționa ca superutilizator local. Arista spune că problema a fost detectată de ea și că este cunoscută ca exploatată activ. Condițiile sunt acces la interfața web VCO și o sesiune autentificată în portal, cu rolul minim Enterprise Read Only; VCO este expus implicit, iar nicio opțiune de configurare nu previne expunerea.

Sunt afectate doar orchestratoarele VCO găzduite local, în versiunile anterioare lui 5.2.3.18, 6.1.3.10 și 6.4.2.12. VeloCloud Gateway și VeloCloud Edge nu sunt afectate. Instanțele Hosted și Dedicated au fost deja reparate. Versiunile ieșite din suport nu au fost evaluate; Arista cere clienților de acolo să contacteze TAC. Seria 7.0 nu apare în listă, iar Arista spune că versiunile care nu sunt listate nu sunt vulnerabile.

• ▸Arista — Security Advisory 0199, CVE-2026-114625
• ▸The Hacker News — Arista avertizează asupra unui zero-day SQL injection în VeloCloud

Cele trei defecte VCO exploatate din iulie

• ▸Iulie 2026: CVE-2026-16812, raportat ca exploatat; nu cerea autentificare, potrivit The Hacker News. Detalii în analiza noastră separată din iulie.
• ▸Septembrie 2026: CVE-2026-93952, exploatat, legat de autentificarea cu certificat a dispozitivelor Edge; nu cerea cont. Articolul nostru din septembrie are tabelul de versiuni.
• ▸22 octombrie 2026: CVE-2026-114625, exploatat, primul care cere un cont autentificat în portal.
• ▸Fiecare are ID, condiții și tabel de remedieri propriu: o versiune care îl închide pe unul nu îl închide neapărat pe altul.

• ▸The Hacker News — al treilea defect VCO exploatat din iulie
• ▸Awarely Monitor — CVE-2026-93952 în VeloCloud Orchestrator
• ▸Arista — avizul 0199

Ce rămâne necunoscut sau neclar

Avizul nu spune când au început atacurile, ce orchestratoare au fost lovite, la ce scară și ce au făcut atacatorii după acces. Nu explică de ce descrierea vorbește despre escaladare de privilegii, în timp ce CWE-ul atribuit este SQL injection (CWE-89). Nu spune dacă actualizarea elimină un acces deja obținut și nu spune dacă un VCO compromis poate expune dispozitive Edge, avertisment pe care Arista l-a făcut pentru defectele din iulie și septembrie. Nu am găsit analiză tehnică independentă a lanțului de exploatare sau atribuire; sursele care repetă povestea se bazează pe aviz.

Versiunile diferă de articolul nostru din septembrie, dar sunt alte CVE-uri. Pentru CVE-2026-93952, Arista lista 7.0.0.2 și mai vechi ca afectate, iar remedieri doar pentru 5.2 și 6.4; The Hacker News notează că pe 6.1 acel CVE afectează până la 6.1.3.7 fără versiune corectată listată și că nici un aviz nu spune dacă 6.1.3.10 îl repară. Un VCO pe un build care a închis defectele din iulie și septembrie este deci tot afectat de acesta, dacă e sub versiunile de mai sus.

• ▸Arista — avizul 0199, descriere și condiții
• ▸The Hacker News — al treilea defect VCO exploatat și versiunile
• ▸Awarely Monitor — CVE-2026-93952 în VeloCloud Orchestrator

Ce faci azi

• ▸Găsește toate orchestratoarele VCO găzduite local, inclusiv cele ale furnizorilor și cele moștenite. Notează versiunea exactă, seria și cine are conturi în portal.
• ▸Actualizează la 5.2.3.18, 6.1.3.10 sau 6.4.2.12 (sau mai nou, pe seria ta). Dacă ești pe o serie ieșită din suport, contactează Arista TAC; nu presupune că ești în afara riscului.
• ▸Restricționează accesul la interfața web VCO la rețele administrative de încredere. Acest pas contează acum și pentru conturile cu rol minim, pentru că un cont de citire e suficient.
• ▸Revizuiește conturile din portal, mai ales rolurile minime și cele ale furnizorilor sau ale clienților finali, și elimină ce nu are proprietar.
• ▸Monitorizează traficul de ieșire neașteptat de pe gazda VCO și blochează porturile de ieșire de care nu ai nevoie; caută daemoni de tip backdoor și webshell-uri, după ghidul Arista.
• ▸Caută în jurnalele de acces web VCO componente de cale cu aspect de URL, caractere codificate, referiri la servicii locale sau interne și rate mari de cereri. Cele două adrese IP sursă observate de Arista sunt în aviz: blochează-le și caută-le în jurnale.
• ▸Dacă suspectezi compromitere, păstrează înainte de remediere jurnalele web, ale aplicației backend, de sistem și de bază de date, plus marcajele de timp ale fișierelor, cum cere Arista.

• ▸Arista — remediere, atenuări și ghid de răspuns

Închide alerta cu dovezi

Pentru fiecare VCO, păstrează versiunea înainte și după, data actualizării, lista conturilor din portal cu rolurile și proprietarii, restricțiile de rețea aplicate, rezultatul căutărilor în jurnale pentru cele două adrese și tiparele de cale, locul unde sunt păstrate dovezile și excepțiile rămase, cu motiv și termen. Cum acesta este al treilea defect exploatat în câteva luni, păstrează evidențe separate pentru fiecare CVE, cu versiunea care le acoperă.