VeloCloud SQL injection mundëson qasje të plotë operatori
Sulmet me VeloCloud SQL injection po shfrytëzojnë një dobësi kritike që mund ta kthejë llogarinë e klientit me privilegjet më të ulëta në nivelin më të lartë të kontrollit mbi VeloCloud Orchestrator. Arista tha në një njoftim të 22 tetorit se cenueshmëria prek VeloCloud Orchestrator (VCO), sistemin qendror të menaxhimit për rrjetet VeloCloud software-defined wide area network (SD-WAN), të cilat lidhin dhe menaxhojnë në mënyrë të centralizuar rrjete në disa vendndodhje. Dobësia është një zero-day, që do të thotë se sulmuesit e shfrytëzuan përpara se organizatat e prekura të kishin në dispozicion një korrigjim.
Cenueshmëria, e gjurmuar si CVE-2026-114625, ka një vlerësim Common Vulnerability Scoring System (CVSS) prej 9,9 nga 10. SQL injection është një dobësi që lejon input të përgatitur posaçërisht të ndërhyjë në kërkesat që një aplikacion i dërgon database. Shfrytëzimi kërkon qasje në rrjet te web interface i VCO, i cili është console e menaxhimit përmes browser, si dhe një llogari të vlefshme. Megjithatë, sulmuesit i nevojitet vetëm roli Enterprise Read Only, roli i integruar me më pak privilegje që u ofrohet përdoruesve klientë. Arista thotë se VCO e ekspozon interface si parazgjedhje dhe nuk ofron një cilësim VCO që e parandalon këtë ekspozim.
Një sulmues që ka sukses mund të marrë operator privileges, nivelin më të lartë të kontrollit në orchestrator. Operatorët mund të krijojnë llogari klientësh dhe partnerësh, ndërsa partnerët mund të administrojnë grupe klientësh. Arista thotë se shfrytëzimi i lejon sulmuesit të veprojë si një local superuser me qasje të pakufizuar. Cenueshmëria mund të lejojë gjithashtu ndërhyrje në host-in bazë të VCO, duke ekspozuar, ndryshuar ose ndërprerë potencialisht orchestrator dhe informacionin nën menaxhimin e tij. Njoftimi nuk i identifikon organizatat e prekura, nuk përshkruan se çfarë bënë sulmuesit pasi fituan qasje dhe nuk tregon se kur filloi shfrytëzimi.
On-premises deployments, pra sistemet VCO që funksionojnë brenda mjedisit të vetë klientit, duhet të përmirësohen në release e përshtatshme të korrigjuar. Korrigjimet janë VCO 5.2.3.18 ose më i ri për release train 5.2, VCO 6.1.3.10 ose më i ri për 6.1 dhe VCO 6.4.2.12 ose më i ri për 6.4. Një release train është një varg i mirëmbajtur versionesh të ndërlidhura të software. Hosted dhe Dedicated orchestrators janë korrigjuar tashmë. VeloCloud Gateway dhe VeloCloud Edge nuk janë të cenueshme dhe release train 7.0 mungon në listën e të prekurave. Arista thotë se release që nuk janë renditur në njoftim nuk preken.
Arista nuk i ka vlerësuar versionet VCO që nuk mbështeten më. Klientët që ende përdorin një release train të pambështetur mund të kontaktojnë Arista's Technical Assistance Center për mundësitë e disponueshme të upgrade. Linja e produkteve u bë pjesë e Arista pasi blerja e saj nga Broadcom u njoftua në korrik 2025. Më parë njihej si VMware SD-WAN by VeloCloud.
CVE-2026-114625 është cenueshmëria e tretë VCO që nga fundi i korrikut, për të cilën Arista ka raportuar se është shfrytëzuar. Ndryshe nga dobësia e re, cenueshmëria e korrikut, CVE-2026-16812, dhe cenueshmëria e shtatorit, CVE-2026-93952, nuk kërkonin që sulmuesit të kryenin authentication. Instalimi i release që trajtonin këto probleme të mëparshme nuk mjafton, sepse ato versione janë më të vjetra se korrigjimet më të fundit. Në release train 5.2, dobësia e shtatorit u trajtua në 5.2.3.16, ndërsa cenueshmëria e re kërkon 5.2.3.18. Në 6.4, korrigjimi i mëparshëm ishte 6.4.2.8, krahasuar me 6.4.2.12 për problemin më të fundit.
Situata e patch të shtatorit mbetet më pak e qartë për release train 6.1. Më 22 tetor, CVE-2026-93952 prekte versionet deri në 6.1.3.7, por për atë cenueshmëri nuk ishte renditur asnjë release 6.1 i korrigjuar. Asnjëri prej njoftimeve nuk thotë nëse 6.1.3.10, që korrigjon CVE-2026-114625, trajton edhe dobësinë e shtatorit. Prandaj, administratorët nuk duhet të supozojnë pa konfirmim se instalimi i build të ri 6.1 i zgjidh të dyja cenueshmëritë.
Kur një upgrade i menjëhershëm nuk është i mundur, Arista rekomandon që qasja te web interface i VCO të lejohet vetëm nga rrjete të besuara administrative. Organizatat duhet të monitorojnë lidhjet që përfshijnë adresa të njohura keqdashëse Internet Protocol (IP), të shqyrtojnë trafikun e papritur që del nga host-i VCO dhe të marrin në konsideratë bllokimin e outbound ports që nuk kërkohen nga funksionimi normal. Ato duhet të kërkojnë gjithashtu webshells, të cilat janë programe keqdashëse të kontrollit në distancë të vendosura në një sistem web, si edhe backdoor daemons, të cilat janë shërbime të fshehura në background që sigurojnë qasje të vazhdueshme. Aktiviteti i fundit i administratorëve duhet të kontrollohet për ndryshime të pashpjegueshme.
Arista identifikoi 74.82.197[.]86 dhe 38.54.50[.]151 si adresa IP të përdorura në sulme. Mbrojtësit duhet t'i bllokojnë dhe të kërkojnë në records ekzistuese për lidhje që përfshijnë cilëndo adresë. VCO web access logs duhet të shqyrtohen gjithashtu për përbërës të pazakontë të path, karaktere të koduara, përpjekje për t'iu referuar shërbimeve lokale ose të brendshme dhe vëllime jashtëzakonisht të larta kërkesash. Nëse dyshohet për komprometim, provat duhet të ruhen përpara se të bëhen ndryshime, kur kjo është e mundur. Materialet përkatëse përfshijnë web access logs, backend application logs, operating system logs dhe database logs, së bashku me file-system timestamps.
Njoftimet e mëparshme paralajmëruan se komprometimi përmes dobësive të korrikut dhe shtatorit mund të siguronte gjithashtu qasje te pajisjet VeloCloud Edge. Njoftimi më i fundit nuk thotë nëse ky rrezik vlen edhe për CVE-2026-114625 apo nëse instalimi i përditësimit heq qasjen që një sulmues mund ta ketë vendosur tashmë. Për organizatat që kanë nevojë për mbështetje të jashtme për planifikimin më të gjerë të sigurisë së infrastrukturës, AEU-I ofron IT, infrastrukturë dhe konsulencë me sigurinë në plan të parë. Për operatorët VCO, përparësitë e menjëhershme janë instalimi i release së saktë, kufizimi i qasjes te management interface dhe hetimi i treguesve të përshkruar nga Arista.