Обычная учётная запись для просмотра настроек сети оказалась достаточной, чтобы добраться до полномочий суперпользователя. Arista 22 октября подтвердила эксплуатацию критической уязвимости в VeloCloud Orchestrator (VCO). Злоумышленники уже атакуют управляющие серверы, от которых зависит работа корпоративных сетей и подключённых филиалов.
Ошибка получила идентификатор CVE-2026-114625 и оценку 9,9 балла по CVSS 3.1, а по CVSS 4.0 набрала 9,4 балла. Причиной стала SQL-инъекция, то есть возможность изменить запрос к базе данных через неправильно обработанные входные значения. Arista относит проблему к классу CWE-89. При успешной атаке пользователь с ограниченными правами может повысить свои привилегии.
Для взлома нужны доступ к веб-интерфейсу VCO и действующая авторизованная сессия. Достаточно роли Enterprise Read Only, самого низкого стандартного уровня доступа арендатора, предназначенного лишь для чтения данных. Уязвимость позволяет выдать себя за локального оператора с правами суперпользователя и обратиться к внутренним функциям, которые не должны быть доступны извне.
VeloCloud Orchestrator контролирует SD-WAN, корпоративную сеть, которая связывает филиалы и удалённые площадки через программно управляемые соединения. Поэтому захват управляющего сервера опаснее доступа к отдельному устройству. Arista предупреждает о возможном нарушении конфиденциальности, целостности и доступности самого оркестратора и хранящихся под его управлением данных.
Под угрозой локальные установки VCO ветки 5.2.x до версии 5.2.3.18, ветки 6.1.x до 6.1.3.10 и ветки 6.4.x до 6.4.2.12. В перечисленных сборках и более новых выпусках соответствующих веток ошибка исправлена. Облачные варианты Hosted и Dedicated тоже были уязвимы, однако Arista закрыла проблему на своей стороне. VeloCloud Edge и Gateway бюллетень не относит к затронутым продуктам.
Производитель назвал адреса 74.82.197.86 и 38.54.50.151, с которых уже проводили атаки. В журналах веб-доступа рекомендуют искать необычные пути запросов, закодированные символы, обращения к локальным сервисам и резкие всплески активности. При подозрении на взлом Arista советует прежде всего сохранить журналы веб-сервера, приложения, системы и базы данных, а также временные метки файлов.
Для VeloCloud нынешняя атака стала продолжением тревожной серии. В сентябре злоумышленники уже атаковали VCO через другую критическую брешь. Тогда при определённой схеме аутентификации злоумышленникам вообще не требовалась учётная запись портала. Новая SQL-инъекция отличается механизмом и необходимостью войти в систему хотя бы с минимальными правами.
Arista рекомендует как можно быстрее обновить локальные установки до исправленных версий. Пока обновление не выполнено, компания советует ограничить доступ к веб-интерфейсу доверенными административными сетями, отслеживать подозрящие исходящие соединения и проверять появление веб-оболочек и скрытых служб. Масштаб уже состоявшихся атак производитель пока не раскрыл.