Arista Networks hat Sicherheitsupdates für eine Zero-Day-Schwachstelle in VeloCloud Orchestrator veröffentlicht, die Angreifer aktiv ausnutzen. Die kritische Schwachstelle betrifft lokale Installationen und ermöglicht es authentifizierten Benutzern mit grundlegenden Berechtigungen, weitreichende administrative Zugriffsrechte zu erlangen.
Die unter CVE-2026-114625 erfasste Schwachstelle betrifft eine SQL-Injection über die Weboberfläche von VeloCloud Orchestrator. Für die Ausnutzung ist eine gültige authentifizierte Sitzung erforderlich, jedoch keine Interaktion durch einen anderen Benutzer.
Schwachstelle ermöglicht Benutzern mit grundlegenden Berechtigungen Zugriff auf interne Funktionen
VeloCloud Orchestrator bietet ein zentrales Webportal zur Konfiguration und Überwachung softwaredefinierter Wide Area Networks und der zugehörigen Edge-Geräte.
Die Schwachstelle ermöglicht es jedoch einem authentifizierten Angreifer, Operator-Berechtigungen zu erlangen und sich als lokaler Superuser-Operator auszugeben. Dadurch können Angreifer auf interne Funktionen zugreifen, die Administratoren nicht aus der Ferne erreichen können sollten.
Arista warnte davor, dass eine erfolgreiche Ausnutzung den Orchestrator-Host beeinträchtigen und die Vertraulichkeit, Integrität und Verfügbarkeit seiner Daten gefährden könnte.
Das Unternehmen stuft den Angriff als wenig komplex ein. Dennoch müssen Angreifer zunächst Zugriff auf die Weboberfläche und eine gültige Kontositzung haben.
Arista bestätigt Korrekturen für gehostete Installationen
Zusätzlich zu seinen Sicherheitsupdates erklärte Arista, dass das Unternehmen gehostete VCO-Installationen bereits gepatcht hat, sofern sie die folgenden Versionen oder neuere Versionen innerhalb der jeweiligen Versionszweige verwenden:
- 5.2.3.18
- 6.1.3.10
- 6.4.2.12
Administratoren, die für lokale Installationen verantwortlich sind, sollten die entsprechenden Sicherheitsupdates installieren. In der Zwischenzeit sollten sie den Zugriff auf die Verwaltungsoberfläche einschränken, während sie die Bereitstellung vorbereiten.
Diese vorübergehenden Einschränkungen können die Angriffsfläche reduzieren, ersetzen jedoch nicht die Sicherheitspatches für die Zero-Day-Schwachstelle in VeloCloud Orchestrator.
Administratoren sollten den Zugriff einschränken und Aktivitäten überprüfen
Arista empfiehlt, den Zugriff auf die VCO-Weboberfläche auf administrative Netzwerke zu beschränken. Darüber hinaus sollten Sicherheitsteams die jüngsten Administratoraktivitäten auf unerwartete Änderungen überprüfen.
Webzugriffsprotokolle können ebenfalls verdächtige Anfragen aufdecken. Das Unternehmen hob mehrere Warnsignale hervor:
- Ungewöhnliche URL-ähnliche Bestandteile innerhalb von Anfragepfaden.
- Kodierte Zeichen.
- Verweise auf lokale oder interne Dienste.
- Ungewöhnlich hohe Anfragefrequenzen.
Darüber hinaus empfahl Arista Organisationen, zwei IP-Adressen zu blockieren, die mit den laufenden Angriffen in Verbindung stehen: 74[.]82.197.86 und 38[.]54.50.151.
Sicherheitsteams sollten bei der Untersuchung möglicher Eindringversuche auch prüfen, ob es zuvor Verbindungen von diesen Adressen gab.
Beweismaterial nach Möglichkeit vor der Behebung sichern
Wenn Administratoren eine Kompromittierung vermuten, empfiehlt Arista, relevantes Beweismaterial vor der Behebung zu sichern, sofern dies betrieblich möglich ist.
Zu diesem Beweismaterial gehören Webzugriffsprotokolle, Backend-Anwendungsprotokolle, Systemprotokolle und Datenbankprotokolle. Relevante Zeitstempel im Dateisystem können Ermittlern ebenfalls helfen, verdächtige Aktivitäten zu rekonstruieren.
Darüber hinaus können betroffene Kunden das Technical Assistance Center von Arista kontaktieren, um Unterstützung zu erhalten.
Aktueller Vorfall folgt auf drei zuvor ausgenutzte Schwachstellen
Die Offenlegung folgt auf drei weitere aktiv ausgenutzte Zero-Day-Schwachstellen, die Arista bereits früher im Jahr 2026 behoben hatte.
Diese Vorfälle betrafen CVE-2026-7473 im Mai, CVE-2026-16812 im Juli und CVE-2026-93952 im September. Zu den betroffenen Produkten gehörten in diesen drei Fällen Aristas Extensible Operating System und lokale VeloCloud Orchestrator-Installationen.
Die jüngsten Angriffe unterstreichen die Notwendigkeit, Verwaltungsoberflächen abzusichern und ungewöhnliche Aktivitäten mit erhöhten Berechtigungen zu untersuchen, während gleichzeitig Sicherheitspatches installiert werden.
0 Kommentare zu „Arista behebt aktiv ausgenutzte Zero-Day-Schwachstelle in VeloCloud Orchestrator“