A támadók egy nulladik napi SQL‑injekciós sebezhetőséget használnak ki az Arista VeloCloud Orchestratorban (VCO), a VeloCloud SD‑WAN hálózatok központi menedzsment rendszerében – közölte a cég egy tájékoztatóban október 22-én.

A hiba lehetővé teszi, hogy bárki, aki be tud jelentkezni az orchestratorba – még egy csak olvasási jogú ügyfélfiókkal is – operátori jogosultságot szerezzen, vagyis a legmagasabb szintű hozzáférést.

Helyben telepített orchestratoroknál a javítást a VCO 5.2.3.18, 6.1.3.10 és 6.4.2.12 release tartalmazza, a Hosted és Dedicated orchestratorokat pedig már ellátták javítócsomaggal.

A sebezhetőség azonosítója CVE-2026-114625, és 9,9 pontot kapott a CVSS skálán. Azok az orchestratorok is érintettek, amelyek a júliusban és szeptemberben kihasznált VCO hibákat javító release-eket futtatják, mert ezek régebbiek az új javításoknál.

Az Arista 2025 júliusában jelentette be, hogy megvásárolta a VeloCloud SD‑WAN termékvonalat a Broadcomtól. A termékeket korábban VMware SD‑WAN by VeloCloud néven ismerték.

A sebezhetőség kihasználásához a támadónak hálózati hozzáférésre van szüksége az orchestrator webes felületéhez, valamint egy érvényes bejelentkezésre. A minimális szükséges szerepkör az Enterprise Read Only, ami az ügyfélfelhasználók legalacsonyabb beépített szerepe. A VCO alapértelmezés szerint ki van téve, és semmilyen VCO beállítás nem akadályozza meg ezt a kitettséget.

A VCO-ban az operátorok hozzák létre az ügyfél- és partnerfiókokat, és minden partner egy ügyfélcsoportot kezelhet. A sebezhetőség lehetővé teszi, hogy a támadó helyi rendszergazdaként járjon el, egy teljes hozzáférésű szerepkörben. Emellett lehetőséget adhat arra is, hogy a támadó magát a VCO hostot is befolyásolja, és hozzáférjen az orchestratorhoz, illetve a kezelt adatokhoz, azokat módosítsa vagy megzavarja a működését.

A tájékoztató nem közli, mikor kezdődtek a támadások, mely orchestratorokat érték, és mit tettek a támadók a sebezhetőség kihasználása után.

Az új sebezhetőség a harmadik a VCO-ban július vége óta, amelyről az Arista azt közölte, hogy aktívan kihasználják, és a három közül az első, amelyhez bejelentkezés kell. Sem a júliusi hiba (CVE-2026-16812), sem a szeptemberi hiba (CVE-2026-93952) nem igényelt bejelentkezést.

Érintett és javított release-ek

Minden érintett release-vonalhoz külön javítás tartozik, az alábbi táblázatban a szeptemberi hibát javító release mellett látható az új sebezhetőséget javító verzió ugyanazon a vonalon.

A verzióadatok megegyeznek a nyilvános biztonsági tájékoztatóval. A 6.1-es ágon a szeptemberi sérülékenységhez nincs feltüntetett javítás; azt nem szabad automatikusan feltételezni, hogy a későbbi verzió ezt is megoldja.

A VeloCloud Gatewayt és a VeloCloud Edge-et nem érinti a hiba. A 7.0-s release-vonal nem szerepel a listán, és az Arista szerint minden olyan release, amely nincs a listán, nem sebezhető. Az Arista nem vizsgálta azokat a release-eket, amelyeknél már lejárt a támogatás. Azok az ügyfelek, akik nem támogatott release-vonalon vannak, az Arista Technical Assistance Centerével (TAC) vehetik fel a kapcsolatot a verziófrissítési lehetőségekről.

Október 22-ig a szeptemberi hibát csak az 5.2-es és 6.4-es vonalon javították. A 6.1-es ágon a 6.1.3.7-es release-ig érinti a hibajegyzék, és nem szerepel javított release. Egyik tájékoztató sem tér ki arra, hogy a 6.1.3.10-es verzió javítja-e a szeptemberi hibát.

Ha még nem tud frissíteni

Amíg nem kerül fel a javított release, az Arista az alábbi lépéseket javasolja:

• Korlátozza a VCO webes felületének elérését megbízható adminisztrációs hálózatokra.
• Figyelje a VCO-t ismert rosszindulatú IP-címekről érkező kapcsolatokra.
• Figyelje a VCO host váratlan kifelé irányuló hálózati forgalmát.
• Fontolja meg azoknak a kimenő portoknak a tiltását, amelyekre a normál működésnek nincs szüksége.
• Keressen hátsó kapuként működő démonokat és webshell-eket.
• Nézze át a közelmúltbeli adminisztrátori tevékenységet váratlan módosítások után kutatva.

Annak ellenőrzése, hogy történt-e kompromittálás

Az Arista szerint két IP-címről indították a támadásokat. Ezeket érdemes tiltani, és a naplókat átnézni, hogy előfordultak-e:

• IP: 74.82.197[.]86
• IP: 38.54.50[.]151

Érdemes átnézni a VCO webes elérési naplóit is, különösen azokat a kéréseket, amelyek szokatlan, URL-szerű elérési útvonalakat, kódolt karaktereket, helyi vagy belső szolgáltatásokra mutató hivatkozásokat tartalmaznak, vagy nagyon magas kérésiszámmal járnak.

Ha felmerül a gyanú, hogy kompromittálták a rendszert, lehetőség szerint a javítás előtt mentsen el minden bizonyítékot. Ide tartoznak a VCO webes elérési naplói, a backend alkalmazás, a rendszer és az adatbázis naplói, valamint a releváns fájlrendszer-időbélyegek.

A júliusi és szeptemberi hibákkal kapcsolatban az Arista arra figyelmeztetett, hogy egy kompromittált orchestrator a támadóknak a VeloCloud Edge eszközökhöz is hozzáférést adhat. Ennél a hibánál a tájékoztató nem tér ki arra, hogy fennáll-e ugyanez a kockázat, illetve hogy a verziófrissítés megszünteti-e az esetleg már megszerzett hozzáférést.