Внедрение SQL-кода в VeloCloud Orchestrator (VCO), платформе управления сетью VeloCloud, при локальной установке даёт любому прошедшему вход пользователю права оператора и позволяет выдать себя за локального суперпользователя. Arista Networks сообщает, что уязвимость уже применяют в реальных атаках, и просит проверить журналы веб-доступа. Затронуты локальные установки VCO; облачные варианты, включая выделенные, вендор уже обновил. Когда зафиксированы первые попытки, Arista не указывает: уведомление опубликовано 22 октября 2026 года.
CVE-2026-114625 и механика повышения привилегий в VCO
Атака идёт по сети, и учётные данные для неё нужны. Достаточно действующей сессии с минимальной встроенной ролью арендатора Enterprise Read Only, которая даёт права только на чтение. Участие пользователя не требуется. Настройки, снимающей риск, нет: веб-интерфейс VCO открыт по умолчанию, о чём вендор пишет прямо. После успешной атаки пользователь с минимальными правами действует как оператор и как локальный суперпользователь, включая доступ к внутренним функциям, не предназначенным для удалённого вызова. Под угрозой конфиденциальность, целостность и доступность оркестратора и данных, которыми он управляет.
Arista относит VCO к подтверждённо уязвимым продуктам. Ошибка зарегистрирована под номером BUG2043622 в уведомлении Security Advisory 0199. Там же перечислены адреса, с которых, по наблюдениям вендора, велись атаки: 74.82.197.86 и 38.54.50.151. Эти адреса советуют заблокировать и проверить журналы на обращения с них.
Оценка по шкале CVSSv3.1, то есть по базовой шкале опасности от 0 до 10, - 9.9 из 10. Вектор атаки описан как сетевой, сложность низкая, участие пользователя не нужно, привилегии при этом требуются.
Тип проблемы вендор относит к категории CWE-89, то есть к внедрению SQL-кода: данные от пользователя попадают в запрос к базе без должной проверки. По более новой шкале CVSSv4.0 он даёт 9.4 из 10.
Уязвимы локальные установки VCO версий 5.2.x до 5.2.3.18, 6.1.x до 6.1.3.10 и 6.4.x до 6.4.2.12. Остальные продукты вендора, включая коммутаторы на EOS, точки доступа Wi-Fi, CloudVision, а также VeloCloud Gateway и VeloCloud Edge, в уведомлении отнесены к незатронутым. Версии, снятые с поддержки, Arista не проверяла.
Исправление вышло в версиях 5.2.3.18, 6.1.3.10 и 6.4.2.12: первая закрывает ветку 5.2, вторая - 6.1, третья - 6.4. Для установок на ветках, которые больше не поддерживаются, вендор советует обратиться в свой центр технической поддержки (TAC), чтобы подобрать путь обновления.
Пока исправление не установлено, Arista предлагает ограничить доступ к веб-интерфейсу VCO доверенными административными сетями и следить за обращениями с известных вредоносных адресов. Полезно отслеживать необычную исходящую активность с хоста VCO и закрыть исходящие порты, которые не нужны для штатной работы. Отдельно вендор просит искать скрытые службы удалённого доступа и веб-шеллы (скрипты, дающие управление через браузер), а также проверять действия администраторов на предмет неожиданных изменений. При подозрении на компрометацию до обновления сохраняют журналы веб-доступа, журналы приложений и базы данных, системные журналы и отметки времени файловой системы.
Обходных мер, которые снимают проблему полностью, вендор не называет: настройки, закрывающей доступ к внутренним функциям, нет, поэтому полное решение одно - обновление. Детали раскрыты публично, и эксплуатация уже идёт, а для эскалации прав хватает любой действующей сессии, включая самую ограниченную. До установки исправления сохраняется риск, что пользователь с правами только на чтение получит управление оркестратором и данными, которые тот обслуживает.
Ссылки
- https://www.cve.org/CVERecord?id=CVE-2026-114625
- https://www.arista.com/en/support/advisories-notices/security-advisory/24838-security-advisory-0199
