Arista VeloCloud Orchestrator: injecție SQL exploatată (CISA KEV)

Pe 23 octombrie 2026, CISA a inclus CVE-2026-114625 în catalogul Known Exploited Vulnerabilities (KEV): vulnerabilitatea din Arista VeloCloud Orchestrator (VCO) este deci deja exploatată în atacuri reale. Catalogul o numește „Arista VeloCloud Orchestrator SQL Injection Vulnerability”.

Pentru agențiile federale americane, termenul de intervenție este 26 octombrie 2026, la doar trei zile după includere. Fișa CVE din baza de date NVD a fost publicată pe 22 octombrie.

Acest articol se bazează pe o singură sursă, fișa din catalogul KEV cu descrierea publicată în baza de date NVD: informațiile de mai jos sunt cele raportate acolo.

Ce s-a întâmplat

VeloCloud Orchestrator este consola de administrare centralizată a soluției SD-WAN VeloCloud. Potrivit descrierii publicate în baza de date NVD, vulnerabilitatea afectează instalările on-prem ale orchestratorului și poate permite unui atacator de la distanță să acceseze funcții interne privilegiate și să afecteze gazda pe care rulează VCO.

Concret, pe un sistem vulnerabil orice utilizator autentificat poate obține privilegii de operator și se poate da drept utilizatorul local „superuser operator”. Astfel are acces și la funcții gândite doar pentru uz intern, care nu ar trebui să fie accesibile de la distanță.

Potrivit aceleiași descrieri, o exploatare reușită poate compromite confidențialitatea, integritatea și disponibilitatea orchestratorului și a datelor pe care le gestionează.

Versiunile găzduite, inclusiv cele Dedicated, au fost și ele afectate și au fost deja corectate.

Detalii tehnice

• CVE: CVE-2026-114625.
• Produs: Arista VeloCloud Orchestrator (VCO), instalări on-prem.
• Slăbiciune: CWE-89 (injecție SQL), cum indică și titlul din catalogul KEV. Descrierea NVD nu explică în ce funcție se află defectul.
• Impact: escaladarea privilegiilor de la utilizator autentificat la „superuser operator”, acces la funcții interne care nu sunt gândite pentru uz de la distanță, impact asupra gazdei VCO.
• Scoruri CVSS, ambele calculate de PSIRT-ul Arista:
  • 9.9 (critic) în CVSS 3.1: atac din rețea, complexitate scăzută, privilegii scăzute (orice cont), fără interacțiunea utilizatorului, scope changed, impact ridicat asupra confidențialității, integrității și disponibilității;
  • 9.4 (critic) în CVSS 4.0: aceleași condiții, cu impact ridicat atât asupra sistemului vulnerabil, cât și asupra sistemelor ulterioare (SC, SI și SA ridicate).
• Versiuni afectate și corectate: sursa nu le indică; se găsesc în avizul de securitate 0199 al Arista.
• Exploatare: confirmată de CISA prin includerea în catalogul KEV. Folosirea în campanii ransomware, potrivit CISA, nu este cunoscută deocamdată.
• MITRE ATT&CK: exploatarea unei aplicații accesibile din rețea corespunde tehnicii T1190 (Exploit Public-Facing Application), iar folosirea unui cont existent ca punct de plecare tehnicii T1078 (Valid Accounts). Sursa nu descrie lanțul de atac și nici indicatori de compromitere.

Valoarea scope changed din CVSS 3.1 și valorile ridicate pentru sistemele ulterioare din CVSS 4.0 arată că, în evaluarea Arista, consecințele nu rămân limitate la orchestrator.

Impactul pentru companiile europene și italiene

Orchestratorul este punctul din care se administrează rețeaua SD-WAN: cine îl controlează cu privilegii de operator acționează asupra componentei care gestionează rețeaua și asupra datelor pe care le conține. Nevoia unui utilizator autentificat nu este o barieră mare: potrivit descrierii, ajunge orice cont, chiar și cu privilegii minime.

Pentru entitățile care intră sub incidența NIS2, gestionarea la timp a vulnerabilităților face parte din măsurile cerute, iar o compromitere trebuie evaluată pentru notificarea către CSIRT-ul național, care în Italia este CSIRT Italia din cadrul ACN. Același lucru este valabil pentru unitățile sanitare care conectează mai multe sedii printr-o rețea SD-WAN gestionată de un orchestrator on-prem.

Ce faci imediat

1. Inventar: verifică dacă în compania ta, sau la furnizorul care îți gestionează rețeaua, există un VeloCloud Orchestrator on-prem. Instanțele găzduite, inclusiv cele Dedicated, au fost deja corectate de Arista.
2. Actualizează: aplică corecțiile sau măsurile de atenuare indicate în avizul 0199 al Arista. CISA cere aplicarea măsurilor de atenuare ale producătorului sau, dacă nu sunt disponibile, renunțarea la produs.
3. Redu expunerea: CISA cere evaluarea gradului în care fiecare instanță este expusă pe Internet. Până la aplicarea actualizării, ia în calcul ca interfața orchestratorului să fie accesibilă doar din rețeaua de administrare sau prin VPN.
4. Verifică conturile: potrivit descrierii, ajunge orice utilizator autentificat. Șterge conturile care nu mai sunt folosite și controlează cine are acces la orchestrator.
5. Caută semne de compromitere: pentru agențiile federale, CISA trimite la cerințele sale de triaj criminalistic. Pe instanțele vulnerabile, examinează jurnalele orchestratorului și ale gazdei, activitățile efectuate cu privilegii de operator și modificările de configurație.
6. Credențiale: dacă găsești semne de compromitere, înlocuiește credențialele conturilor orchestratorului și pe cele folosite de integrările sale.

Cum ajută ARXDOME

ARX Expose arată ce servicii expune compania ta pe Internet, ce produse sunt recunoscute pe ele și care au vulnerabilități cunoscute: te ajută să afli dacă o interfață de administrare este accesibilă din exterior. ARX Shield enumeră vulnerabilitățile deschise de pe mașinile monitorizate și le evidențiază pe cele deja exploatate de atacatori. ARX Sentry colectează jurnale și evenimente de pe serverele pe care este instalat agentul, inclusiv accesele privilegiate și modificările conturilor. Cu ARX Horizon poți consulta din portal detaliile vulnerabilităților și poți căuta indicatori de compromitere.

Ultima actualizare: 23 octombrie 2026