Критическая уязвимость VeloCloud Orchestrator с оценкой 10.0 уже эксплуатируется

Компания Arista 22 сентября сообщила об активной эксплуатации новой уязвимости в локальной версии VeloCloud Orchestrator (VCO) — сервере, который управляет граничными устройствами Edge в сети SD-WAN на базе VeloCloud.

Уязвимость, получившая идентификатор CVE-2026-93952, позволяет удалённому атакующему без каких-либо учётных данных получить доступ к внутренним функциям и повлиять на сам хост VCO. Ей присвоена оценка 10.0 по шкале CVSS 3.1 — максимально возможная. Успешная атака может скомпрометировать оркестратор и управляемые им данные, а через захваченный VCO злоумышленник способен получить доступ и к подчинённым Edge-устройствам.

Кто под угрозой

Уязвимы только те оркестраторы, где Edge-устройства аутентифицируются с помощью сертификатов. VeloCloud поддерживает три режима аутентификации: в режиме с отключёнными сертификатами используется предварительно распределённый ключ, а в режимах Acquire и Required — сертификат, выданный оркестратором. Помимо соответствующей настройки, атакующему требуется сетевой доступ к веб-интерфейсу VCO и публичная часть сертификата одного из Edge-устройств.

По словам Arista, уязвимость «была обнаружена извне и, как известно, активно эксплуатируется». Когда начались атаки и насколько они масштабны, компания не уточнила. Примечательно, что затронутые сборки включают те, что закрывали другую уязвимость VCO, о чьей эксплуатации Arista сообщала ещё в июле (CVE-2026-16812); та, в отличие от новой, была опасна по умолчанию, независимо от настроек.

Исправления и меры

На 22 сентября исправленные сборки выпущены для веток 5.2 и 6.4, но пока не для 6.1 и 7.0. Хостинговые и выделенные версии VCO Arista уже пропатчила. Пользователям неподдерживаемых веток предлагается обратиться в TAC по поводу вариантов обновления.

Пока обновление недоступно, Arista рекомендует ограничить доступ к веб-интерфейсу VCO доверенными административными сетями, следить за обращениями с известных вредоносных адресов и за неожиданным исходящим трафиком, блокировать ненужные исходящие порты, а также искать бэкдоры и веб-шеллы.

Признаки компрометации

Одного надёжного индикатора нет, но в журналах веб-доступа стоит искать запросы с необычными путями, кодированными символами и высокой частотой. Среди конкретных признаков — файлы /usr/local/sbin/.vcnode.js, vc-sysmond (MD5 dc78e206eaeadec59fc5801fe4556bd0) и vc-sysmon.service, HTTP-заголовок x-vc-opt в логах nginx, а также адреса 142.93.149.77 и 104.248.126.159. При обнаружении Arista советует сохранить состояние системы и логи и обратиться в TAC, а после обновления — провести реагирование на инцидент, включая ротацию учётных данных и проверку Edge-устройств.

Источник: The Hacker News