Arista warnt vor aktiv ausgenutzter Zero-Day-Schwachstelle in VeloCloud Orchestrator

Arista Networks hat davor gewarnt, dass Angreifer aktiv eine Zero-Day-Schwachstelle in VeloCloud Orchestrator ausnutzen, die On-Premises-Bereitstellungen betrifft. Das Unternehmen hat bestimmte gehostete Versionen gepatcht und plant, Korrekturen für weitere Versionen zu veröffentlichen.

Schwachstelle legt privilegierte Host-Funktionen offen

Die Schwachstelle mit maximalem Schweregrad, CVE-2026-93952, ist auf eine unzureichende Eingabevalidierung zurückzuführen. Sie betrifft Bereitstellungen, die eine zertifikatbasierte Authentifizierung zwischen VeloCloud Edge und VeloCloud Orchestrator, auch bekannt als VCO, verwenden.

Ein Angreifer benötigt Netzwerkzugriff auf die VCO-Weboberfläche und den öffentlichen Teil eines Edge-Authentifizierungszertifikats. Der Angreifer benötigt jedoch keine Zugangsdaten für einen VCO-Mandanten oder -Operator.

Ein erfolgreicher Angriff kann Zugriff auf privilegierte Funktionen des VCO-Hosts ermöglichen. Arista zufolge wurde die Schwachstelle von einer externen Partei entdeckt und wird bereits von Angreifern ausgenutzt.

Gehostete Versionen gepatcht, weitere Korrekturen folgen

Arista gibt an, gehostete Bereitstellungen mit VCO 5.2.3.16 oder höher sowie 6.4.2.8 oder höher gepatcht zu haben. Das Unternehmen plant außerdem, Patches für Instanzen mit VCO 6.1.3.7 und früher sowie 7.0.0.2 und früher zu veröffentlichen.

Unterdessen hat die US Cybersecurity and Infrastructure Security Agency CVE-2026-93952 in ihren Katalog der Known Exploited Vulnerabilities aufgenommen. Zivile US-Bundesbehörden müssen die Schwachstelle bis zum 25. September 2026 beheben.

Administratoren sollten Systeme auf Kompromittierung überprüfen

Während sie auf eine Korrektur warten, sollten Administratoren den Zugriff auf die VCO-Weboberfläche auf administrative Netzwerke beschränken. Außerdem sollten sie die jüngsten Administratoraktivitäten und die Webzugriffsprotokolle von VCO überprüfen.

Die Zero-Day-Schwachstelle in VeloCloud Orchestrator kann Spuren verdächtiger Webanfragen hinterlassen. Dazu gehören kodierte Zeichen, ungewöhnliche Pfade, Verweise auf interne Dienste und ungewöhnlich hohe Anfrageraten.

Arista empfiehlt außerdem, nginx-Protokolle auf den HTTP-Header x-vc-opt zu überprüfen. Darüber hinaus sollten Teams die IP-Adressen 142[.]93.149.77 und 104[.]248.126.159 blockieren und unerwarteten ausgehenden Datenverkehr vom VCO-Host untersuchen.

Falls Administratoren einen Sicherheitsvorfall vermuten, empfiehlt Arista, relevante Protokolle und Zeitstempel des Dateisystems nach Möglichkeit vor der Behebung zu sichern. Sie können sich außerdem an Aristas Technical Assistance Center wenden, um Unterstützung zu erhalten.