Una SQL injection in VeloCloud consente il pieno accesso come operator
Gli attacchi di SQL injection contro VeloCloud stanno sfruttando una falla critica in grado di trasformare il login cliente con i privilegi più bassi nel massimo livello di controllo su VeloCloud Orchestrator. In un bollettino del 22 ottobre, Arista ha dichiarato che la vulnerabilità interessa VeloCloud Orchestrator (VCO), il sistema di gestione centrale per le reti geografiche software-defined VeloCloud (SD-WAN), che collega e gestisce centralmente le reti in più sedi. La falla è una zero-day, il che significa che gli attaccanti l'hanno sfruttata prima che le organizzazioni interessate disponessero di una correzione.
La vulnerabilità, identificata come CVE-2026-114625, ha una valutazione di 9,9 su 10 nel Common Vulnerability Scoring System (CVSS). SQL injection è una debolezza che consente a input appositamente costruiti di interferire con le richieste inviate al database di un'applicazione. Lo sfruttamento richiede l'accesso di rete all'interfaccia web di VCO, ossia la console di gestione basata su browser, nonché un account valido. Tuttavia, all'attaccante è sufficiente il ruolo Enterprise Read Only, il ruolo integrato con i privilegi più bassi disponibile per gli utenti clienti. Arista afferma che VCO espone l'interfaccia per impostazione predefinita e non offre un'impostazione VCO che impedisca tale esposizione.
Un attaccante che riesca nell'operazione può ottenere privilegi operator, il massimo livello di controllo nell'orchestrator. Gli operator possono creare account di clienti e partner, mentre i partner possono amministrare gruppi di clienti. Arista afferma che lo sfruttamento permette a un attaccante di agire come local superuser con accesso senza restrizioni. La vulnerabilità potrebbe inoltre consentire di interferire con l'host VCO sottostante, esponendo, modificando o interrompendo potenzialmente l'orchestrator e le informazioni sotto la sua gestione. Il bollettino non identifica le organizzazioni colpite, non descrive ciò che gli attaccanti hanno fatto dopo aver ottenuto l'accesso e non indica quando sia iniziato lo sfruttamento.
I deployment on-premises, ossia i sistemi VCO eseguiti nell'ambiente del cliente, devono essere aggiornati alla release corretta appropriata. Le patch sono VCO 5.2.3.18 o versioni successive per la release train 5.2, VCO 6.1.3.10 o versioni successive per la 6.1 e VCO 6.4.2.12 o versioni successive per la 6.4. Una release train è una sequenza di versioni software correlate sottoposta a manutenzione. Gli orchestrator Hosted e Dedicated sono già stati corretti. VeloCloud Gateway e VeloCloud Edge non sono vulnerabili e la release train 7.0 non compare nell'elenco di quelle interessate. Arista afferma che le release non elencate nel bollettino non sono interessate.
Arista non ha valutato le versioni VCO che non sono più supportate. I clienti che utilizzano ancora una release train non supportata possono contattare il Technical Assistance Center di Arista per conoscere i percorsi di aggiornamento disponibili. La linea di prodotti è entrata a far parte di Arista dopo l'annuncio, nel luglio 2025, del suo acquisto da Broadcom. In precedenza era nota come VMware SD-WAN by VeloCloud.
CVE-2026-114625 è la terza vulnerabilità VCO dalla fine di luglio che Arista ha segnalato come sfruttata. A differenza della nuova falla, la vulnerabilità di luglio, CVE-2026-16812, e quella di settembre, CVE-2026-93952, non richiedevano l'autenticazione degli attaccanti. L'installazione delle release che risolvevano quei problemi precedenti non è sufficiente, perché tali versioni sono antecedenti alle correzioni più recenti. Nella release train 5.2, la falla di settembre è stata risolta nella versione 5.2.3.16, mentre la nuova vulnerabilità richiede la 5.2.3.18. Nella 6.4, la correzione precedente era la 6.4.2.8, rispetto alla 6.4.2.12 necessaria per il problema più recente.
La situazione della patch di settembre rimane meno chiara per la release train 6.1. Al 22 ottobre, CVE-2026-93952 interessava le versioni fino alla 6.1.3.7, ma per tale vulnerabilità non era indicata alcuna release 6.1 corretta. Nessuno dei due bollettini precisa se la 6.1.3.10, che corregge CVE-2026-114625, risolva anche la falla di settembre. Gli amministratori non dovrebbero quindi presumere, senza una conferma, che l'installazione della nuova build 6.1 risolva entrambe le vulnerabilità.
Quando un aggiornamento immediato non è possibile, Arista consiglia di consentire l'accesso all'interfaccia web di VCO soltanto dalle reti amministrative affidabili. Le organizzazioni dovrebbero monitorare le connessioni che coinvolgono indirizzi Internet Protocol (IP) dannosi noti, esaminare il traffico imprevisto in uscita dall'host VCO e valutare il blocco delle porte in uscita non necessarie per le normali operazioni. Dovrebbero inoltre cercare webshells, ossia programmi dannosi di controllo remoto installati su un sistema web, e backdoor daemons, ossia servizi nascosti in background che garantiscono un accesso persistente. Le attività recenti degli amministratori dovrebbero essere controllate per individuare modifiche prive di spiegazione.
Arista ha identificato 74.82.197[.]86 e 38.54.50[.]151 come indirizzi IP utilizzati negli attacchi. I responsabili della difesa dovrebbero bloccarli e cercare nei registri esistenti eventuali connessioni che coinvolgano uno dei due indirizzi. Anche i log di accesso web di VCO dovrebbero essere esaminati per individuare componenti insoliti nei path, caratteri codificati, tentativi di fare riferimento a servizi locali o interni e volumi di richieste insolitamente elevati. Se si sospetta una compromissione, ove possibile le prove dovrebbero essere conservate prima di apportare modifiche. Il materiale pertinente comprende i log di accesso web, dell'applicazione backend, del sistema operativo e del database, insieme ai timestamp del file system.
I bollettini precedenti avvertivano che una compromissione attraverso le falle di luglio e settembre poteva fornire accesso anche ai dispositivi VeloCloud Edge. Il bollettino più recente non indica se tale rischio riguardi anche CVE-2026-114625 né se l'installazione dell'aggiornamento elimini un accesso che un attaccante potrebbe aver già stabilito. Per le organizzazioni che necessitano di supporto esterno per una pianificazione più ampia della sicurezza dell'infrastruttura, AEU-I offre servizi IT, infrastrutturali e di consulenza incentrati innanzitutto sulla sicurezza. Le priorità immediate per gli operatori VCO sono installare la release corretta, limitare l'accesso all'interfaccia di gestione e indagare sugli indicatori descritti da Arista.