Arista advarer om aktivt udnyttet zero-day-sårbarhed i VeloCloud Orchestrator

Arista Networks har advaret om, at angribere aktivt udnytter en zero-day-sårbarhed i VeloCloud Orchestrator, der påvirker lokale installationer. Virksomheden har patchet visse hostede versioner og planlægger at frigive rettelser til yderligere versioner.

Sårbarheden giver adgang til privilegerede værtsfunktioner

Sårbarheden med den højeste alvorlighedsgrad, CVE-2026-93952, skyldes utilstrækkelig validering af input. Den påvirker installationer, der bruger certifikatbaseret godkendelse mellem VeloCloud Edge og VeloCloud Orchestrator, også kendt som VCO.

En angriber har brug for netværksadgang til VCO’s webgrænseflade og den offentlige del af et Edge-godkendelsescertifikat. Angriberen behøver dog ikke legitimationsoplysninger til en VCO-tenant eller operatør.

Et vellykket angreb kan give adgang til privilegerede funktioner på VCO-værten. Arista oplyser, at en ekstern part opdagede sårbarheden, og at angribere allerede udnytter den.

Hostede versioner patchet, mens flere rettelser er på vej

Arista oplyser, at virksomheden har patchet hostede installationer, der kører VCO 5.2.3.16 eller nyere og 6.4.2.8 eller nyere. Virksomheden planlægger også at frigive patches til instanser, der kører VCO 6.1.3.7 og tidligere samt 7.0.0.2 og tidligere.

Samtidig har US Cybersecurity and Infrastructure Security Agency føjet CVE-2026-93952 til sit katalog over kendte udnyttede sårbarheder. Føderale civile myndigheder skal håndtere sårbarheden senest den 25. september 2026.

Administratorer bør kontrollere for kompromittering

Mens de venter på en rettelse, bør administratorer begrænse adgangen til VCO’s webgrænseflade til administrative netværk. De bør også gennemgå nylig administratoraktivitet og VCO’s webadgangslogfiler.

Zero-day-sårbarheden i VeloCloud Orchestrator kan efterlade tegn på mistænkelige webanmodninger. Disse omfatter kodede tegn, usædvanlige stier, henvisninger til interne tjenester og usædvanligt høje anmodningsrater.

Arista anbefaler også at kontrollere nginx-logfiler for HTTP-headeren x-vc-opt. Derudover bør teams blokere IP-adresserne 142[.]93.149.77 og 104[.]248.126.159 og undersøge uventet udgående trafik fra VCO-værten.

Hvis administratorer har mistanke om et sikkerhedsbrud, anbefaler Arista, at de, hvor det er muligt, bevarer relevante logfiler og tidsstempler i filsystemet, før de foretager afhjælpning. De kan også kontakte Aristas Technical Assistance Center for at få hjælp.