VeloCloud SQL injection ermöglicht vollständigen Operatorzugriff
Angriffe mittels VeloCloud SQL injection nutzen eine kritische Schwachstelle aus, durch die eine Kundenanmeldung mit den geringsten Rechten zur höchsten Kontrollebene über VeloCloud Orchestrator aufgewertet werden kann. Arista erklärte in einem Sicherheitshinweis vom 22. Oktober, dass die Schwachstelle VeloCloud Orchestrator (VCO) betrifft, das zentrale Verwaltungssystem für software-defined wide area networks (SD-WAN) von VeloCloud, die Netzwerke an mehreren Standorten verbinden und zentral verwalten. Bei der Schwachstelle handelt es sich um einen zero-day, das heißt, Angreifer nutzten sie aus, bevor den betroffenen Organisationen eine Fehlerbehebung zur Verfügung stand.
Die als CVE-2026-114625 erfasste Schwachstelle hat im Common Vulnerability Scoring System (CVSS) eine Bewertung von 9,9 von 10 Punkten. SQL injection ist eine Schwachstelle, durch die speziell konstruierte Eingaben Datenbankabfragen einer Anwendung beeinflussen können. Für eine Ausnutzung sind Netzwerkzugriff auf die VCO-Weboberfläche, also die browserbasierte Verwaltungskonsole, sowie ein gültiges Konto erforderlich. Der Angreifer benötigt jedoch lediglich die Rolle Enterprise Read Only, die integrierte Rolle mit den geringsten Rechten, die Kundennutzern zur Verfügung steht. Laut Arista ist die Oberfläche von VCO standardmäßig erreichbar, und VCO bietet keine Einstellung, mit der sich diese Erreichbarkeit verhindern lässt.
Ein erfolgreicher Angreifer kann operator privileges erlangen, die höchste Kontrollebene im Orchestrator. Operators können Kunden- und Partnerkonten erstellen, während Partner Kundengruppen verwalten können. Laut Arista ermöglicht die Ausnutzung einem Angreifer, als lokaler superuser mit uneingeschränktem Zugriff zu handeln. Die Schwachstelle kann außerdem Eingriffe in den zugrunde liegenden VCO host ermöglichen, wodurch der Orchestrator und die von ihm verwalteten Informationen offengelegt, verändert oder beeinträchtigt werden könnten. Der Sicherheitshinweis nennt weder die betroffenen Organisationen noch beschreibt er, was die Angreifer nach dem Zugriff taten oder wann die Ausnutzung begann.
Bei on-premises betriebenen VCO-Systemen, die also innerhalb der eigenen Umgebung eines Kunden ausgeführt werden, muss ein Upgrade auf die passende korrigierte Version erfolgen. Die Patches sind VCO 5.2.3.18 oder höher für den release train 5.2, VCO 6.1.3.10 oder höher für 6.1 und VCO 6.4.2.12 oder höher für 6.4. Der Begriff release train bezeichnet eine gewartete Abfolge zusammengehöriger Softwareversionen. Orchestratoren der Typen Hosted und Dedicated wurden bereits gepatcht. VeloCloud Gateway und VeloCloud Edge sind nicht verwundbar, und der release train 7.0 ist nicht in der Liste der betroffenen Versionen enthalten. Laut Arista sind Versionen, die im Sicherheitshinweis nicht aufgeführt sind, nicht betroffen.
Arista hat VCO-Versionen, die nicht mehr unterstützt werden, nicht bewertet. Kunden, die weiterhin einen nicht unterstützten release train verwenden, können sich wegen verfügbarer Upgrade-Pfade an das Technical Assistance Center von Arista wenden. Die Produktlinie wurde Teil von Arista, nachdem ihre Übernahme von Broadcom im Juli 2025 angekündigt worden war. Zuvor war sie unter dem Namen VMware SD-WAN by VeloCloud bekannt.
CVE-2026-114625 ist die dritte VCO-Schwachstelle seit Ende Juli, die Arista als aktiv ausgenutzt gemeldet hat. Anders als bei der neuen Schwachstelle mussten sich Angreifer bei der Schwachstelle vom Juli, CVE-2026-16812, und der Schwachstelle vom September, CVE-2026-93952, nicht authentifizieren. Die Installation von Versionen, die diese früheren Probleme behoben, reicht nicht aus, da diese Versionen älter als die neuesten Fehlerbehebungen sind. Im release train 5.2 wurde die Schwachstelle vom September mit 5.2.3.16 behoben, während für die neue Schwachstelle 5.2.3.18 erforderlich ist. Bei 6.4 war die frühere Fehlerbehebung 6.4.2.8, verglichen mit 6.4.2.12 für das neueste Problem.
Die Patch-Situation vom September bleibt für den release train 6.1 weniger eindeutig. Mit Stand vom 22. Oktober betraf CVE-2026-93952 Versionen bis einschließlich 6.1.3.7, für diese Schwachstelle war jedoch keine korrigierte 6.1-Version aufgeführt. In keinem der beiden Sicherheitshinweise wird angegeben, ob 6.1.3.10, das CVE-2026-114625 behebt, auch die Schwachstelle vom September behebt. Administratoren sollten daher nicht ohne Bestätigung davon ausgehen, dass die Installation des neuen 6.1-Builds beide Schwachstellen beseitigt.
Wenn ein sofortiges Upgrade nicht möglich ist, empfiehlt Arista, den Zugriff auf die VCO-Weboberfläche ausschließlich aus vertrauenswürdigen administrativen Netzwerken zuzulassen. Organisationen sollten Verbindungen überwachen, an denen bekannte bösartige Internet Protocol (IP)-Adressen beteiligt sind, unerwarteten ausgehenden Datenverkehr vom VCO host untersuchen und erwägen, ausgehende Ports zu blockieren, die für den normalen Betrieb nicht erforderlich sind. Außerdem sollten sie nach webshells suchen, also bösartigen Fernsteuerungsprogrammen, die auf einem Websystem abgelegt werden, sowie nach backdoor daemons, also verborgenen Hintergrunddiensten, die einen fortgesetzten Zugriff ermöglichen. Neuere Administratoraktivitäten sollten auf unerklärliche Änderungen geprüft werden.
Arista identifizierte 74.82.197[.]86 und 38.54.50[.]151 als IP-Adressen, die bei den Angriffen verwendet wurden. Verantwortliche für die Abwehr sollten diese Adressen blockieren und vorhandene Aufzeichnungen nach Verbindungen durchsuchen, an denen eine der beiden Adressen beteiligt war. Auch die VCO-Webzugriffslogs sollten auf ungewöhnliche Pfadbestandteile, codierte Zeichen, Versuche zum Verweis auf lokale oder interne Dienste sowie ungewöhnlich hohe Anfragevolumen geprüft werden. Wenn eine Kompromittierung vermutet wird, sollten Beweismittel nach Möglichkeit gesichert werden, bevor Änderungen vorgenommen werden. Zu den relevanten Materialien gehören Webzugriffslogs, Logs der Backend-Anwendung, des Betriebssystems und der Datenbank sowie file-system timestamps.
Frühere Sicherheitshinweise warnten davor, dass eine Kompromittierung über die Schwachstellen vom Juli und September auch Zugriff auf VeloCloud Edge-Geräte ermöglichen könnte. Aus dem neuesten Sicherheitshinweis geht weder hervor, ob dieses Risiko auch für CVE-2026-114625 gilt, noch ob die Installation des Updates einen möglicherweise bereits von einem Angreifer eingerichteten Zugriff entfernt. Organisationen, die externe Unterstützung bei einer umfassenderen Planung der Infrastruktursicherheit benötigen, bietet AEU-I sicherheitsorientierte IT, Infrastruktur und Beratung an. Die unmittelbaren Prioritäten für VCO-Betreiber bestehen darin, die richtige Version zu installieren, den Zugriff auf die Verwaltungsoberfläche einzuschränken und die von Arista beschriebenen Hinweise auf eine Kompromittierung zu untersuchen.