Arista varnar för aktivt utnyttjad zero-day-sårbarhet i VeloCloud Orchestrator

Arista Networks har varnat för att angripare aktivt utnyttjar en zero-day-sårbarhet i VeloCloud Orchestrator som påverkar lokala installationer. Företaget har patchat vissa hostade versioner och planerar att släppa korrigeringar för ytterligare versioner.

Sårbarheten exponerar privilegierade värdfunktioner

Sårbarheten med maximal allvarlighetsgrad, CVE-2026-93952, beror på bristfällig validering av indata. Den påverkar installationer som använder certifikatbaserad autentisering mellan VeloCloud Edge och VeloCloud Orchestrator, även känt som VCO.

En angripare behöver nätverksåtkomst till VCO webbgränssnitt och den publika delen av ett Edge-autentiseringscertifikat. Angriparen behöver dock inte ha autentiseringsuppgifter för en VCO-klient eller operatör.

En lyckad attack kan ge tillgång till privilegierade funktioner på VCO-värden. Arista uppger att en extern part upptäckte sårbarheten och att angripare redan utnyttjar den.

Hostade versioner patchade medan fler korrigeringar är på väg

Arista uppger att företaget har patchat hostade installationer som kör VCO 5.2.3.16 eller senare och 6.4.2.8 eller senare. Företaget planerar också att släppa patchar för instanser som kör VCO 6.1.3.7 och tidigare samt 7.0.0.2 och tidigare.

Samtidigt har USA Cybersecurity and Infrastructure Security Agency lagt till CVE-2026-93952 i sin katalog över kända utnyttjade sårbarheter. Federala civila myndigheter måste åtgärda sårbarheten senast den 25 september 2026.

Administratörer bör kontrollera om systemen har komprometterats

I väntan på en korrigering bör administratörer begränsa åtkomsten till VCO webbgränssnitt till administrativa nätverk. De bör också granska den senaste administratörsaktiviteten och VCO webbåtkomstloggar.

Zero-day-sårbarheten i VeloCloud Orchestrator kan lämna spår av misstänkta webbförfrågningar. Dessa inkluderar kodade tecken, ovanliga sökvägar, referenser till interna tjänster och ovanligt höga frekvenser av förfrågningar.

Arista rekommenderar också att nginx-loggar kontrolleras efter HTTP-headern x-vc-opt. Dessutom bör team blockera IP-adresserna 142[.]93.149.77 och 104[.]248.126.159 och undersöka oväntad utgående trafik från VCO-värden.

Om administratörer misstänker ett intrång rekommenderar Arista att de, där det är möjligt, bevarar relevanta loggar och tidsstämplar i filsystemet innan åtgärder vidtas. De kan också kontakta Aristas Technical Assistance Center för hjälp.