← Все новости

Безопасность ·

Arista закрыла эксплуатируемую 0-day в VeloCloud Orchestrator с CVSS 9.9Arista patches exploited VeloCloud Orchestrator zero-day rated CVSS 9.9

SQL-инъекция CVE-2026-114625 позволяет любому аутентифицированному пользователю, даже с ролью только для чтения, получить права суперпользователя в SD-WAN-оркестраторе. Это уже третья 0-day в VeloCloud Orchestrator примерно за четыре месяца; CISA внесла её в KEV 23 октября.SQL injection CVE-2026-114625 lets any authenticated user, even a read-only one, gain superuser rights in the SD-WAN orchestrator. It is the third VeloCloud Orchestrator zero-day in roughly four months; CISA added it to KEV on Oct 23.

Уязвимость CVE-2026-114625 — SQL-инъекция в on-premise версии VeloCloud Orchestrator, центральной консоли управления SD-WAN. Оценка — CVSS 3.1 9.9 (CVSS 4.0 9.4). Достаточно любой учётной записи, включая роль «Enterprise Read Only», чтобы подняться до уровня оператора или суперпользователя, а через оркестратор — управлять всей сетью филиалов.

Детали

  • Advisory 0199 Arista опубликовала 22 октября, CISA внесла уязвимость в KEV 23 октября — эксплуатация подтверждена.
  • Исправленные версии: 5.2.3.18, 6.1.3.10 и 6.4.2.12.
  • Важно: сборки, обновлённые после июльской и сентябрьской 0-day, по-прежнему уязвимы — нужен именно новый патч.
  • Hosted и Dedicated-инсталляции Arista уже обновила; Gateway и Edge не затронуты.
  • Как атакующие получают первичный доступ к учётной записи, Arista не сообщает.

Что делать

Обновить on-prem оркестратор до исправленной версии, проверить список учётных записей и их роли, сбросить пароли, особенно у сервисных и read-only аккаунтов, просмотреть журналы на аномальные действия администраторов. По возможности убрать интерфейс оркестратора из публичного интернета.

CVE-2026-114625 is a SQL injection in on-premises VeloCloud Orchestrator, the central SD-WAN management console. It is rated CVSS 3.1 9.9 (CVSS 4.0 9.4). Any account, including the “Enterprise Read Only” role, is enough to escalate to operator or superuser level — and through the orchestrator, control the whole branch network.

Details

  • Arista published Advisory 0199 on Oct 22; CISA added the flaw to KEV on Oct 23, confirming exploitation.
  • Fixed versions: 5.2.3.18, 6.1.3.10 and 6.4.2.12.
  • Note: builds patched for the July and September zero-days are still vulnerable — this new patch is required.
  • Arista has already updated Hosted and Dedicated deployments; Gateway and Edge are not affected.
  • Arista has not said how attackers obtain the initial login.

What to do

Upgrade on-prem orchestrators to a fixed release, review accounts and their roles, reset passwords — especially for service and read-only accounts — and check logs for unusual admin activity. Where possible, take the orchestrator interface off the public internet.

Источники