VeloCloud Orchestrator: aktywne ataki na krytyczną lukę. Arista wydała poprawki

Arista 22 października potwierdziła aktywne wykorzystywanie luki CVE-2026-114625 w VeloCloud Orchestrator. Dostępne są poprawki dla instalacji zarządzanych przez klientów. Producent informuje, że środowiska przez niego utrzymywane, w tym dedykowane, zostały już zaktualizowane.

Co umożliwia luka

Problem dotyczy wstrzykiwania poleceń SQL w systemie zarządzającym infrastrukturą SD-WAN. Napastnik potrzebuje dostępu do interfejsu internetowego oraz ważnej sesji użytkownika. Wystarcza najniższa wbudowana rola klienta: Enterprise Read Only.

Wykorzystanie błędu pozwala uzyskać uprawnienia operatora i podszyć się pod lokalnego użytkownika „superuser operator”. Otwiera to dostęp również do funkcji przeznaczonych wyłącznie do użytku wewnętrznego. Producent ostrzega przed naruszeniem poufności, integralności i dostępności systemu oraz zarządzanych danych.

Kogo dotyczą poprawki

Administratorzy powinni porównać wersję VCO z komunikatem producenta. Poprawione wydania to 5.2.3.18, 6.1.3.10 oraz 6.4.2.12 w odpowiednich gałęziach. Wersji po zakończeniu wsparcia nie oceniono; ich operatorzy powinni uzgodnić aktualizację z pomocą techniczną Aristy.

Co zrobić teraz

• Zaktualizować zagrożone instalacje i ograniczyć dostęp do panelu do zaufanych sieci administracyjnych.
• Sprawdzić dzienniki pod kątem adresów 74.82.197.86 oraz 38.54.50.151, wskazanych przez producenta jako źródła ataków.
• Zbadać nietypowe żądania, połączenia wychodzące i ostatnie działania administratorów.
• Przy podejrzeniu włamania zabezpieczyć dostępne dzienniki i ślady przed rozpoczęciem naprawy.

Komentarz SecurHUB

Aktywnie atakowany system zarządzania siecią wymaga aktualizacji połączonej z oceną wcześniejszej aktywności. Obsługa incydentów może pomóc ustalić zakres naruszenia i zaplanować działania naprawcze.

Źródła: Arista, BleepingComputer