Локально развёртываемая версия VeloCloud Orchestrator (VCO) On-Prem, компонент платформы VMware SD-WAN by VeloCloud, содержит уязвимость внедрения SQL-кода (SQL-инъекции). Удалённый злоумышленник с низкими привилегиями может повысить права и запустить произвольный код в оркестраторе, который управляет настройками программно-конфигурируемой сети. Затронуты ветки 5.2, 6.1 и 6.4 до версий 5.2.3.18, 6.1.3.10 и 6.4.2.12. В Банке данных угроз безопасности информации (BDU) проблема описана под номером BDU:2026-17519 и идентификатором CVE-2026-114625. Оценки BDU: 9 по CVSS 2.0, 9,9 по CVSS 3.1 и 9,4 по CVSS 4.0. Для CVSS 3.1 и 4.0 указан критический уровень опасности. Эксплойт существует.
CVE-2026-114625 в VeloCloud Orchestrator и исправленные версии
Как работает внедрение SQL-кода
VCO управляет конфигурацией SD-WAN, устройствами и политиками на стороне заказчика. При внедрении SQL-кода приложение не отделяет данные, введённые пользователем, от структуры запроса к базе. Специально сформированный ввод меняет логику запроса, и ограничения, которые должны удерживать пользователя в его роли, перестают работать. В случае VCO это даёт возможность повысить привилегии и выполнить код.
По вектору CVSS атака идёт по сети, сложность низкая, взаимодействие с пользователем не требуется. Нужны лишь низкие привилегии. Изменённая область действия означает, что последствия затрагивают не только сам оркестратор, но и управляемую инфраструктуру. Для SD-WAN это важно: оркестратор хранит и применяет правила для филиалов, каналов связи и устройств.
Риск реальных атак
В описании BDU атака проходит по сети, а для эксплуатации хватает низких привилегий. Поэтому ошибка важна для тех, кто открывает интерфейс управления за пределы доверенного периметра. Компрометация оркестратора затрагивает настройки всей управляемой сети, а не только одну учётную запись. Arista Networks подтвердила уязвимость и опубликовала рекомендации. Исправленные сборки: 5.2.3.18, 6.1.3.10 и 6.4.2.12. Они относятся к веткам 5.2, 6.1 и 6.4 соответственно. Для более ранних сборок этих ветвей проблема остаётся.
Исправление доступно в виде обновления программного обеспечения. Проверять необходимо именно локально развёрнутый VCO On-Prem, поскольку облачные варианты в описании BDU не перечислены.
Что делать администраторам
Проверьте, какая сборка VCO On-Prem используется. Обновите оркестратор до 5.2.3.18, 6.1.3.10 или 6.4.2.12 в зависимости от ветки. Если обновление нельзя установить сразу, ограничьте доступ к интерфейсу управления: не выставляйте его в интернет, закройте межсетевым экраном, разрешите подключения только с доверенных адресов администраторов, изолируйте оркестратор от общих пользовательских сетей. Проверьте учётные записи с низкими привилегиями и журналы доступа к VCO. Эти меры не заменяют исправление, но снижают вероятность эксплуатации.
Для операторов SD-WAN ошибка в оркестраторе чувствительна: этот компонент задаёт политики для всей сети. Наличие эксплойта и включение в KEV делают проверку версий приоритетной. Исправленные сборки уже доступны, и главная задача - не оставить локально развёрнутый VCO на уязвимой версии.
Ссылки
- https://bdu.fstec.ru/vul/2026-17519
- https://www.cve.org/CVERecord?id=CVE-2026-114625
- https://www.arista.com/en/support/advisories-notices/security-advisory/24838-security-advisory-0199
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-114625
