Arista устранила эксплуатируемую 0-day в VeloCloud Orchestrator

Arista Networks выпустила обновления безопасности, закрывающие уязвимость нулевого дня, которую злоумышленники уже активно используют в атаках. Проблема затрагивает локальные (On-Prem) развёртывания VeloCloud Orchestrator (VCO) — веб-портала, через который администраторы настраивают, отслеживают и управляют сетями VeloCloud SD-WAN и подключёнными пограничными устройствами.

Уязвимость получила идентификатор CVE-2026-114625 и критический уровень опасности. Она позволяет атакующему, располагающему базовыми правами, доступом к веб-интерфейсу VCO и действующей аутентифицированной сессией, повысить привилегии через SQL-инъекцию. Атака имеет низкую сложность и не требует участия пользователя.

По словам Arista, успешная эксплуатация может скомпрометировать конфиденциальность, целостность и доступность оркестратора и управляемых им данных. Любой аутентифицированный пользователь способен получить права оператора и выдать себя за локального суперпользователя (superuser operator), получив доступ к функциональности, которая предназначена исключительно для внутреннего использования и не должна быть доступна удалённо.

Исправления и меры защиты

Компания сообщила, что уже обновила размещённые у неё развёртывания VCO до версий 5.2.3.18 и новее, 6.1.3.10 и новее, а также 6.4.2.12 и новее.

До установки патчей администраторам рекомендовано ограничить доступ к веб-интерфейсу VCO административными сетями, отслеживать подключения с известных вредоносных IP-адресов и проверять недавнюю активность администраторов на предмет необычных изменений. В журналах веб-доступа следует искать подозрительные запросы — с необычными путями, похожими на URL, закодированными символами, ссылками на локальные или внутренние сервисы, а также аномально высокой частотой обращений.

Arista также призвала заблокировать два адреса, замеченных в текущих атаках: 74.82.197.86 и 38.54.50.151. При подозрении на компрометацию рекомендуется по возможности сохранить журналы веб-доступа, журналы бэкенда, системные и базы данных, а также отметки времени файловой системы перед устранением последствий и обратиться в центр технической поддержки Arista (TAC).

Это уже четвёртая активно эксплуатируемая уязвимость нулевого дня, которую Arista закрывает в текущем году: ранее исправлялись CVE-2026-7473 (май), CVE-2026-16812 (июль) и CVE-2026-93952 (сентябрь) в системах EOS и локальных установках VeloCloud Orchestrator. Arista Networks входит в список Fortune 500 и обслуживает более 10 000 клиентов по всему миру.

Источник: Bleeping Computer