VeloCloud-Orchestrator: Arista schließt aktiv ausgenutzte SQL-Injection-Lücke
Arista warnt am 22. Oktober vor einer aktiv ausgenutzten Zero-Day-Schwachstelle in VeloCloud Orchestrator (VCO), der zentralen Verwaltungsplattform für VeloCloud-SD-WAN-Netze. Die Lücke erlaubt es einem angemeldeten Benutzer mit der niedrigsten integrierten Kundenrolle, Operator-Rechte zu erlangen. Betroffen ist damit nicht nur eine einzelne Verwaltungsfunktion: Ein kompromittierter Orchestrator kann die Vertraulichkeit, Integrität und Verfügbarkeit des Systems und der dort verwalteten Daten gefährden.
Die Schwachstelle trägt die Kennung CVE-2026-114625 und ist mit 9,9 auf der CVSS-Skala bewertet. Für On-Premises-Orchestratoren nennt Arista die VCO-Versionen 5.2.3.18, 6.1.3.10 und 6.4.2.12 als korrigierte Stände. Gehostete und dedizierte Orchestratoren seien bereits behoben. Betreiber sollten deshalb zunächst klären, ob sie eine On-Premises-Installation einsetzen, und den jeweiligen Versionsstand gegen diese Fixes prüfen.
Für die Ausnutzung braucht der Angreifer Netzwerkzugriff auf die Weboberfläche und ein gültiges Login. Eine hohe Berechtigungsstufe ist laut der Beschreibung nicht erforderlich: Die Enterprise-Read-Only-Rolle ist die niedrigste eingebaute Kundenrolle. Nach erfolgreicher Ausnutzung kann ein Angreifer als lokaler Superuser auftreten und auf interne Funktionen zugreifen, die nicht für den entfernten Zugriff vorgesehen sind. VCO ist standardmäßig erreichbar; eine Einstellung, die diese Erreichbarkeit verhindert, gibt es laut Arista nicht.
Wenn ein Update noch nicht möglich ist, empfiehlt Arista, den Zugriff auf die VCO-Weboberfläche auf vertrauenswürdige Administrationsnetze zu begrenzen. Zusätzlich sollten Betreiber Verbindungen von bekannten schädlichen IP-Adressen, unerwartete ausgehende Aktivitäten und ungewöhnliche Administratoränderungen überwachen. Genannt werden außerdem verdächtige Webzugriffe mit ungewöhnlichen URL-ähnlichen Pfadbestandteilen, kodierten Zeichen, Verweisen auf lokale oder interne Dienste oder einer hohen Anfragerate. Die beiden beobachteten Angriffsadressen 74[.]82.197.86 und 38[.]54.50.151 sollen blockiert und in den Protokollen gesucht werden.
Bei einem Verdacht auf eine Kompromittierung sollten die relevanten Nachweise nach Möglichkeit vor der Bereinigung gesichert werden. Dazu gehören Webzugriffs-, Backend-, System- und Datenbankprotokolle sowie die Zeitstempel betroffener Dateien. Die verfügbaren Hinweise nennen weder den Beginn der Angriffe noch die Zahl der betroffenen Orchestratoren oder die Aktionen der Angreifer nach einer erfolgreichen Ausnutzung. VeloCloud Gateway und VeloCloud Edge werden in der Warnung als nicht betroffen genannt; für bereits erlangten Zugriff auf andere Komponenten macht sie bei dieser Schwachstelle keine Aussage.