Arista łata aktywną lukę zero-day w VeloCloud Orchestrator

Firma Arista Networks wydała aktualizacje bezpieczeństwa naprawiające aktywnie wykorzystywaną lukę zero-day w lokalnych wdrożeniach VeloCloud Orchestrator (VCO) On-Prem. Narzędzie to służy do konfigurowania, monitorowania i zarządzania sieciami VeloCloud SD-WAN oraz podłączonymi urządzeniami brzegowymi.

Podatność SQL injection i przejęcie uprawnień

Luka zarejestrowana pod identyfikatorem CVE-2026-114625 otrzymała krytyczny priorytet bezpieczeństwa. Usterka ma charakter SQL injection o niskim poziomie skomplikowania i nie wymaga interakcji ze strony użytkownika. Do przeprowadzania ataku wystarczy aktywna sesja zalogowanego użytkownika z podstawowymi uprawnieniami oraz dostęp do interfejsu sieciowego VCO.

Według oświadczenia producenta pomyślna eksploatacja pozwala napastnikowi na uzyskanie uprawnień operatora i podszycie się pod lokalnego użytkownika superużytkownika (superuser operator). Przyznaje to dostęp do wewnętrznych funkcji systemu, które nie powinny być dostępne zdalnie, oraz zagraża poufności, integralności i dostępności zarządzanych danych.

Wersje z poprawkami i zalecenia ochronne

Arista zaktualizowała już wersje chmurowe VCO do wydań 5.2.3.18, 6.1.3.10 oraz 6.4.2.12 lub nowszych. W przypadku instalacji On-Prem administratorzy powinni niezwłocznie wdrożyć udostępnione łaty.

Przed instalacją poprawek producent zaleca podjęcie następujących kroków:

• Ograniczenie dostępu do interfejsu sieciowego VCO wyłącznie do bezpiecznych sieci administracyjnych.
• Zablokowanie ruchu z adresów IP zaobserwowanych podczas ataków: 74.82.197.86 oraz 38.54.50.151.
• Analiza logów dostępu sieciowego VCO pod kątem nietypowych ścieżek URL, zakodowanych znaków, odwołań do usług wewnętrznych oraz nagłych wzrostów liczby żądań.
• Przegląd ostatnich działań administratorów w celu wykrycia nieautoryzowanych zmian.

W przypadku podejrzenia naruszenia bezpieczeństwa zaleca się zabezpieczenie logów dostępu WWW, logów aplikacji, systemu oraz bazy danych przed podjęciem działań naprawczych.

Kolejna podatność zero-day w produktach Arista

To czwarta luka zero-day załatana przez firmę Arista w tym roku w oprogramowaniu Extensible Operating System (EOS) i VeloCloud Orchestrator. Wcześniejsze podatności to CVE-2026-7473 z maja, CVE-2026-16812 z lipca oraz CVE-2026-93952 z września.