Kwetsbaarheid verholpen in Arista VeloCloud Orchestrator (VCO) on-premises

Interpretaties
De kwetsbaarheid met kenmerk CVE-2026-114625 heeft een CVSS-score van 9.9 en betreft SQL-injectie. Een geauthenticeerde kwaadwillende kan de kwetsbaarheid op afstand misbruiken om verhoogde rechten te verkrijgen en zich voor te doen als een lokale 'superuser operator'. Hierdoor kan de kwaadwillende toegang krijgen tot interne beheerfunctionaliteiten en mogelijk de vertrouwelijkheid, integriteit en beschikbaarheid van het systeem en de beheerde gegevens aantasten.

Voor succesvol misbruik heeft een kwaadwillende toegang nodig tot de webinterface van VCO en een geldige gebruikerssessie. Een account met de laagste standaardrechten, Enterprise Read Only, is hiervoor voldoende. Volgens Arista is de kwetsbare functionaliteit standaard blootgesteld en kan dit niet via een configuratiewijziging worden verholpen.

Succesvol misbruik kan leiden tot het verkrijgen van administratieve rechten en toegang tot interne functionaliteiten die normaal gesproken niet op afstand bereikbaar zijn. Hierdoor kunnen ook de door VCO beheerde netwerkomgevingen risico lopen.

De kwetsbaarheid maakt het mogelijk voor elke geauthenticeerde gebruiker met minimaal een Enterprise Read Only-rol om remote code uit te voeren en privileges te escaleren naar operatorniveau. Hierdoor krijgt de gebruiker toegang tot interne superuserfuncties. Het product is standaard blootgesteld zonder configuratieopties om deze aanvalsvector te beperken. Er zijn meldingen van kwaadaardige IP-adressen die exploitatiepogingen uitvoeren, waaronder 74.82.197.86 en 38.54.50.151. Hosted VCO-instanties hebben reeds patches ontvangen om dit probleem te verhelpen.

Arista bevestigt dat de kwetsbaarheid actief wordt misbruikt. Het NCSC adviseert om de beveiligingsupdates met spoed toe te passen en kwetsbare systemen te onderzoeken op aanwijzingen voor eerdere compromittering.

Oplossingen
Arista heeft beveiligingsupdates uitgebracht om de kwetsbaarheid te verhelpen. De kwetsbaarheid is verholpen in VCO 5.2.3.18, 6.1.3.10 en 6.4.2.12, of latere versies binnen de betreffende releasebranches. Hosted-omgevingen, waaronder Dedicated, zijn volgens Arista reeds bijgewerkt.

Totdat de beveiligingsupdates zijn geïnstalleerd, adviseert Arista de toegang tot de VCO-webinterface te beperken tot vertrouwde beheernetwerken.

Vanwege het actieve misbruik adviseert Arista daarnaast de webtoegangslogs te onderzoeken op verdachte verzoeken en activiteiten vanaf de IP-adressen 74.82.197[.]86 en 38.54.50[.]151. Bij vermoedelijke compromittering wordt door Arista geadviseerd relevante logbestanden en forensische gegevens veilig te stellen. Zie bijgevoegde referenties voor meer informatie.