Агентство CISA добавило в каталог Known Exploited Vulnerabilities (KEV, перечень уязвимостей с подтверждённой эксплуатацией) уязвимость в Arista VeloCloud Orchestrator. Попадание в этот перечень означает, что уязвимость уже применяют в реальных атаках, а не просто опубликованы её технические детали. Речь о внедрении SQL-кода, то есть о подстановке посторонних команд в запрос к базе данных. Затронута локальная установка оркестратора: вендор подтвердил, что права оператора может получить любой аутентифицированный пользователь, то есть любой, кто вошёл в систему под своей учётной записью.
Суть CVE-2026-114625 и условия эксплуатации
Уязвимость получила идентификатор CVE-2026-114625 и описана в уведомлении Arista Networks Security Advisory 0199. Оценка по шкале CVSS 3.1 - 9.9 из 10; CVSS сводит набор характеристик уязвимости к одному числу от 0 до 10. Атака идёт по сети, участие пользователя не требуется, но нужна действующая учётная запись. Слабое место - не проверка подлинности, а разграничение прав доступа.
VeloCloud Orchestrator - сервер управления: через него настраивают подчинённые компоненты сети и хранят данные о них. Запросы к этим данным обрабатывает база данных на языке SQL (язык запросов к базам данных). В базе CVE проблеме присвоена категория CWE-89 - некорректная обработка специальных символов в SQL-команде. Проще говоря, строка, которую система должна принять за обычные данные, исполняется как команда.
Пользователь с минимальными полномочиями подставляет такие команды в запрос и обходит ограничения. В результате ему открываются привилегированные внутренние функции, которые не рассчитаны на удалённое обращение. Оркестратор управляет настройками и данными подчинённой инфраструктуры, поэтому под угрозой оказываются их конфиденциальность, целостность и доступность. Вендор отдельно отмечает: выдать себя за локального оператора-суперпользователя может любой аутентифицированный пользователь, а не только администратор.
Отдельно в описании указано воздействие на сам узел оркестратора: успешная эксплуатация затрагивает не только данные, но и работу хоста. Внутренние функции, к которым получает доступ атакующий, не предусматривают удалённых обращений. Их вызов из сети сам по себе выходит за рамки штатного режима работы оркестратора.
Уязвимы локальные сборки в трёх ветках: 5.2 - сборки до 5.2.3.18, 6.1 - до 6.1.3.10, 6.4 - до 6.4.2.12. Хостинговые варианты, включая Dedicated, тоже были затронуты, но их Arista Networks уже исправила. Остальные продукты и платформы вендор по умолчанию считает не затронутыми. Это предварительный вывод, а не подтверждённая безопасность.
Эксплуатация подтверждена: включение в KEV опирается на свидетельства реальных атак. Публикация технических деталей и использование в атаках - разные события, здесь известно и то, и другое. Масштаб атак, их давность и состав участников в исходных данных не раскрываются. Сведений о применении уязвимости до публикации уведомления нет.
Исправление - сборки 5.2.3.18, 6.1.3.10 и 6.4.2.12; всё, что старше в этих ветках, остаётся уязвимым. Обходных мер Arista Networks не называет, поэтому закрыть проблему можно только обновлением. Администратору локальной установки нужно определить свою ветку и поставить сборку не ниже указанной. Хостинговым клиентам обновление не требуется: их версии уже исправлены.
Порог входа для атакующего здесь низкий, а эксплуатация уже подтверждена, поэтому обновление важнее обычного планового цикла. Учётная запись с обычными правами не барьер, а условие атаки. Пока оркестратор не обновлён, внутренние функции остаются доступны пользователям, которым они не предназначены.
Ссылки
- https://www.cve.org/CVERecord?id=CVE-2026-114625
- https://www.arista.com/en/support/advisories-notices/security-advisory/24838-security-advisory-0199
- https://www.cisa.gov/news-events/alerts/2026/10/23/cisa-adds-one-known-exploited-vulnerability-catalog
