Arista сообщила 22 октября о zero-day уязвимости SQL-инъекции в VeloCloud Orchestrator (VCO) — центральной системе управления сетями VeloCloud SD-WAN. Уязвимость уже эксплуатируют. Она позволяет любому, кто может войти в оркестратор, даже с read-only аккаунтом клиента, получить права оператора — верхний уровень контроля над системой.
Уязвимости присвоен идентификатор CVE-2026-114625, оценка по CVSS — 9.9. Для локальных оркестраторов исправления вышли в версиях VCO 5.2.3.18, 6.1.3.10 и 6.4.2.12. Hosted и Dedicated оркестраторы уже пропатчены. Оркестраторы на релизах, закрывавших уязвимости, которые эксплуатировали в июле и сентябре, по-прежнему уязвимы: эти релизы старше новых исправлений.
Кому грозит и что даёт атакующему
Для эксплуатации нужен сетевой доступ к веб-интерфейсу оркестратора и действующий логин. Минимальная роль — Enterprise Read Only, самая низкая встроенная роль для клиентских пользователей. VCO открыт по умолчанию, и ни одна настройка VCO эту доступность не отключает.
В VCO операторы создают аккаунты клиентов и партнёров, каждый партнёр управляет группой клиентов. Уязвимость позволяет атакующему действовать как локальный суперпользователь — роль с полным доступом. Кроме того, он может повлиять на сам хост VCO и раскрыть, изменить или нарушить работу оркестратора и данных, которыми тот управляет.
В рекомендациях не сказано, когда начались атаки, какие оркестраторы пострадали и что атакующие делали после эксплуатации. Это третья уязвимость в VCO с конца июля, которую Arista описывает как эксплуатируемую, и первая из трёх, требующая входа в систему. Июльская (CVE-2026-16812) и сентябрьская (CVE-2026-93952) аутентификации не требовали.
Arista купила линейку SD-WAN VeloCloud у Broadcom, объявив о сделке в июле 2025 года. Раньше продукты назывались VMware SD-WAN by VeloCloud.
Какие версии закрывает патч
У каждой затронутой ветки релизов своё исправление. В таблице рядом с ним показан релиз, закрывавший сентябрьскую уязвимость в той же ветке.
| Ветка | Уязвима до | Исправлено в | CVE-2026-93952 исправлена в |
|---|---|---|---|
| 5.2 | до 5.2.3.18 | 5.2.3.18 и новее | 5.2.3.16 |
| 6.1 | до 6.1.3.10 | 6.1.3.10 и новее | исправление не указано |
| 6.4 | до 6.4.2.12 | 6.4.2.12 и новее | 6.4.2.8 |
VeloCloud Gateway и VeloCloud Edge не затронуты. Ветки 7.0 в списке нет, и Arista говорит, что любой релиз, которого нет в списке, уязвимости не подвержен. Релизы, достигшие окончания поддержки, компания не проверяла. Пользователям неподдерживаемой ветки предлагают обратиться в Technical Assistance Center (TAC) Arista по поводу вариантов обновления.
По состоянию на 22 октября сентябрьская уязвимость исправлена только в ветках 5.2 и 6.4. В ветке 6.1 она затрагивает релизы до 6.1.3.7 включительно, и исправленный релиз не указан. Ни один из двух бюллетеней не говорит, закрывает ли 6.1.3.10 сентябрьскую уязвимость.
Что делать, пока обновление не установлено
До установки исправленного релиза Arista рекомендует ограничить доступ к веб-интерфейсу VCO доверенными административными сетями, отслеживать подключения к VCO с известных вредоносных IP-адресов и неожиданную исходящую сетевую активность с хоста VCO. Также стоит рассмотреть блокировку исходящих портов, которые не нужны для нормальной работы, следить за появлением бэкдор-демонов и веб-шеллов и проверять недавнюю активность администраторов на предмет неожиданных изменений.
Схема знакома по другим громким случаям: когда эксплуатируют критическую дыру в пограничном устройстве, счёт идёт на часы, а не на дни. Так было и с NetScaler ADC и Gateway, где две критические zero-day патчили уже под атакой, и с Cisco Secure Email Gateway, для которого обходных путей не нашлось.
Признаки компрометации
По данным Arista, атаки вели с двух IP-адресов — заблокируйте их и проверьте логи на следы их присутствия:
74.82.197[.]86
38.54.50[.]151
Кроме того, проверьте логи веб-доступа VCO на запросы с необычными компонентами пути, похожими на URL, закодированными символами, обращениями к локальным или внутренним сервисам либо высокой частотой запросов.
При подозрении на компрометацию по возможности сохраните доказательства до каких-либо исправлений: логи веб-доступа VCO, логи бэкенд-приложения, системные логи и логи базы данных, а также соответствующие временные метки файловой системы.
Что касается июльской и сентябрьской уязвимостей, Arista предупреждала, что скомпрометированный оркестратор может также открыть атакующим доступ к устройствам VeloCloud Edge. Для этой уязвимости в бюллетене не сказано, применим ли такой риск и удаляет ли обновление доступ, который атакующий уже получил.
Частые вопросы
Кого касается уязвимость CVE-2026-114625?
Локальные оркестраторы VeloCloud Orchestrator, которые не обновлены до версий 5.2.3.18, 6.1.3.10 или 6.4.2.12. Hosted и Dedicated оркестраторы уже пропатчены. VeloCloud Gateway и VeloCloud Edge не затронуты.
Нужен ли атакующему пароль администратора?
Нет. Достаточно любого действующего логина в оркестратор, включая самую низкую встроенную роль Enterprise Read Only для клиентских пользователей. Права оператора уязвимость даёт уже после входа.
Можно ли закрыть доступ настройками VCO?
Нет. VCO открыт по умолчанию, и, по заявлению Arista, ни одна настройка VCO эту доступность не отключает. Пока патч не установлен, остаётся ограничивать доступ к веб-интерфейсу на уровне сети.
Что делать, если обновиться прямо сейчас нельзя?
Ограничить доступ к веб-интерфейсу VCO доверенными административными сетями, отслеживать подключения с известных вредоносных IP и неожиданную исходящую активность, рассмотреть блокировку ненужных исходящих портов, следить за бэкдор-демонами и веб-шеллами, проверять недавние действия администраторов.
Как понять, что оркестратор уже скомпрометирован?
Проверить логи веб-доступа VCO на запросы с необычными компонентами пути, закодированными символами, обращениями к внутренним сервисам и высокой частотой запросов, а также искать в логах два известных IP-адреса атакующих.
Что сохранить до восстановления системы?
Логи веб-доступа VCO, логи бэкенд-приложения, системные логи и логи базы данных, а также временные метки файловой системы. Arista советует сохранять доказательства до исправлений, где это возможно.
Закрывает ли обновление 6.1.3.10 сентябрьскую уязвимость?
Неизвестно. Ни один из двух бюллетеней этого не утверждает. В ветке 6.1 сентябрьская уязвимость затрагивает релизы до 6.1.3.7 включительно, и исправленный релиз для неё не указан.
Что делать, если оркестратор работает на неподдерживаемом релизе?
Arista не проверяла релизы, достигшие окончания поддержки. Пользователям неподдерживаемой ветки предлагают обратиться в Technical Assistance Center (TAC) Arista, чтобы обсудить варианты обновления.
Устраняет ли обновление доступ, который атакующий уже получил?
Для этой уязвимости в бюллетене об этом не сказано. Для июльской и сентябрьской Arista предупреждала, что скомпрометированный оркестратор может открыть доступ к устройствам VeloCloud Edge, но применим ли этот риск здесь, не уточняется.
Источник: thehackernews.com