Arista advarer om aktivt utnyttet zero-day-sårbarhet i VeloCloud Orchestrator

Arista Networks har advart om at angripere aktivt utnytter en zero-day-sårbarhet i VeloCloud Orchestrator som påvirker lokale installasjoner. Selskapet har patchet enkelte driftede versjoner og planlegger å lansere rettelser for flere versjoner.

Sårbarheten eksponerer privilegerte vertsfunksjoner

Sårbarheten med maksimal alvorlighetsgrad, CVE-2026-93952, skyldes mangelfull validering av inndata. Den påvirker installasjoner som bruker sertifikatbasert autentisering mellom VeloCloud Edge og VeloCloud Orchestrator, også kjent som VCO.

En angriper trenger nettverkstilgang til VCOs webgrensesnitt og den offentlige delen av et Edge-autentiseringssertifikat. Angriperen trenger imidlertid ikke legitimasjon for en VCO-leietaker eller operatør.

Et vellykket angrep kan gi tilgang til privilegerte funksjoner på VCO-verten. Arista sier at en ekstern part oppdaget sårbarheten, og at angripere allerede utnytter den.

Driftede versjoner patchet mens flere rettelser er på vei

Arista sier at selskapet har patchet driftede installasjoner som kjører VCO 5.2.3.16 eller nyere og 6.4.2.8 eller nyere. Det planlegger også å lansere patcher for instanser som kjører VCO 6.1.3.7 og tidligere, samt 7.0.0.2 og tidligere.

Samtidig har US Cybersecurity and Infrastructure Security Agency lagt til CVE-2026-93952 i sin katalog over kjente utnyttede sårbarheter. Føderale sivile etater må håndtere sårbarheten innen 25. september 2026.

Administratorer bør sjekke om systemene er kompromittert

Mens de venter på en rettelse, bør administratorer begrense tilgangen til VCOs webgrensesnitt til administrative nettverk. De bør også gjennomgå nylig administratoraktivitet og VCOs logger for webtilgang.

Zero-day-sårbarheten i VeloCloud Orchestrator kan etterlate tegn på mistenkelige webforespørsler. Disse inkluderer kodede tegn, uvanlige stier, referanser til interne tjenester og uvanlig høy forespørselsfrekvens.

Arista anbefaler også å sjekke nginx-logger etter HTTP-headeren x-vc-opt. I tillegg bør team blokkere IP-adressene 142[.]93.149.77 og 104[.]248.126.159 og undersøke uventet utgående trafikk fra VCO-verten.

Hvis administratorer mistenker et sikkerhetsbrudd, anbefaler Arista at de, der det er mulig, bevarer relevante logger og tidsstempler i filsystemet før utbedring. De kan også kontakte Aristas Technical Assistance Center for hjelp.