Arista hat eine aktiv ausgenutzte Zero-Day-Schwachstelle in VeloCloud Orchestrator behoben, die es entfernten Angreifern ermöglichen könnte, die Kontrolle über betroffene On-Premises-Systeme zu übernehmen.
Die als CVE-2026-16812 verfolgte Schwachstelle ist eine nicht authentifizierte Betriebssystem-Befehlsinjektion mit dem höchstmöglichen CVSS-Schweregrad von 10,0.
Betroffen sind lokale Installationen von VeloCloud Orchestrator, auch als VCO bekannt. Die Plattform dient zur zentralen Konfiguration, Überwachung und Verwaltung von VeloCloud-SD-WAN-Umgebungen und verbundenen Edge-Geräten.
Laut Arista benötigen Angreifer lediglich Netzwerkzugriff auf die VCO-Weboberfläche. Tenant- oder Betreiber-Zugangsdaten sind für die Ausnutzung der Schwachstelle nicht erforderlich.
CVE-2026-16812 ermöglicht Zugriff auf privilegierte Funktionen
Die Zero-Day-Schwachstelle in VeloCloud Orchestrator ermöglicht entfernten Angreifern den Zugriff auf privilegierte Funktionen, die ausschließlich für den internen Gebrauch vorgesehen sind.
Eine erfolgreiche Ausnutzung könnte die Vertraulichkeit, Integrität und Verfügbarkeit sowohl des Orchestrators als auch der von ihm verwalteten Informationen gefährden. Dazu können Konfigurationsdaten, Geräteinventare, Zugangsdaten, Zertifikate und kryptografische Schlüssel gehören.
Arista erklärte, dass die VCO-Weboberflächen standardmäßig erreichbar sind. Kunden können diese Erreichbarkeit nicht vollständig über eine Konfigurationseinstellung deaktivieren.
Das Unternehmen bestätigte, dass Angreifer CVE-2026-16812 aktiv ausnutzen. Arista hat jedoch nicht mitgeteilt, wann die Angriffe begonnen haben oder wer dafür verantwortlich ist.
Betroffene Versionen von VeloCloud Orchestrator
Die Schwachstelle betrifft folgende lokale VCO-Versionen:
- VCO 5.2.x vor Version 5.2.3.14
- VCO 6.1.x vor Version 6.1.3.4
- VCO 6.4.x vor Version 6.4.2.4
- VCO 7.0.x vor Version 7.0.0.1
Arista hat die Schwachstelle in VCO 5.2.3.14, 6.1.3.4 und 6.4.2.4 sowie in späteren Versionen behoben. VCO 7.0.0.1 und neuere Versionen sind ebenfalls nicht anfällig.
Gehostete und dedizierte VeloCloud-Orchestrator-Installationen erhielten die Sicherheitsupdates bereits vor der Veröffentlichung des öffentlichen Sicherheitshinweises. VeloCloud Gateway und VeloCloud Edge sind von CVE-2026-16812 nicht betroffen.
Arista hat Versionen, deren Support bereits ausgelaufen ist, nicht untersucht. Organisationen, die nicht mehr unterstützte Versionen einsetzen, sollten sich an den technischen Support von Arista wenden, um verfügbare Upgrade-Optionen zu prüfen.
CISA nimmt Schwachstelle in KEV-Katalog auf
Die US-amerikanische Cybersecurity and Infrastructure Security Agency (CISA) hat CVE-2026-16812 in ihren Known Exploited Vulnerabilities-Katalog aufgenommen.
Zivile US-Bundesbehörden müssen die Schwachstelle gemäß Binding Operational Directive 22-01 bis zum 30. Juli 2026 beheben.
Die Aufnahme bestätigt, dass die Zero-Day-Schwachstelle in VeloCloud Orchestrator bei realen Angriffen ausgenutzt wird. Auch Organisationen außerhalb des US-Bundessektors sollten das Update daher dringend priorisieren.
Arista veröffentlicht bekannte schädliche IP-Adressen
Arista hat drei IP-Adressen identifiziert, die mit Versuchen zur Ausnutzung der Schwachstelle in Verbindung stehen:
- 8.19.75.217
- 206.72.242.124
- 206.72.242.162
Administratoren sollten diese Adressen blockieren und Protokolle auf frühere Verbindungen überprüfen. Die Liste ist jedoch nicht vollständig. Angreifer könnten weitere Infrastruktur für Angriffe auf verwundbare Systeme eingesetzt haben.
Während die Updates installiert werden, sollte der Zugriff auf die VCO-Weboberfläche auf vertrauenswürdige administrative Netzwerke beschränkt werden. Organisationen sollten außerdem auf unerwartete Administratoraktionen und ungewöhnlichen Datenverkehr vom VCO-Host achten.
Systeme auf Anzeichen einer Kompromittierung prüfen
Sicherheitsteams sollten VCO-Protokolle auf ungewöhnliche Webanfragen, kodierte Zeichen, auffällig hohe Anfragevolumen und Verweise auf lokale oder interne Dienste überprüfen.
Weitere Warnsignale sind unerwarteter ausgehender HTTP- oder HTTPS-Datenverkehr, nicht autorisierte Konfigurationsänderungen, verdächtige Befehlsausführungen, neue Dateien, Datenbankexporte und Archivdateien.
Teams sollten außerdem ungewöhnliche Zugriffe auf VCO-Datenbanken, Geräteinventare, Zertifikate, Zugangsdaten und kryptografische Schlüssel untersuchen.
Besteht der Verdacht auf eine Kompromittierung, sollten Organisationen Protokolle und Dateisystem-Zeitstempel sichern, bevor sie mit der Bereinigung beginnen. Anschließend sollten betroffene Zugangsdaten geändert, Administratoraktivitäten überprüft, verwaltete Geräte kontrolliert und die Wiederherstellung oder der Austausch betroffener VCO-Instanzen erwogen werden.
Die Installation des Sicherheitsupdates ist unerlässlich. Sie entfernt jedoch nicht zwangsläufig einen Angreifer, der die Zero-Day-Schwachstelle in VeloCloud Orchestrator bereits ausgenutzt hat. Ein kompromittierter Orchestrator könnte Angreifern zudem einen Weg zu verbundenen VeloCloud-Edge-Geräten eröffnen.
0 Kommentare zu „VeloCloud-Orchestrator-Zero-Day-Schwachstelle wird aktiv für Angriffe ausgenutzt“