Draai je VeloCloud Orchestrator on-premises, plan de update dan vandaag nog in. Arista meldt dat CVE-2026-114625, een SQL-injectielek met een CVSS 3.1-score van 9.9, actief wordt misbruikt. Een ingelogde gebruiker kan zich via het lek voordoen als de lokale superuser operator en komt zo bij interne functionaliteit die nooit bedoelt was om op afstand bereikbaar te zijn.
Een read-only account is genoeg voor volledige operatorrechten
Het venijn zit in de lage drempel. De aanvaller heeft netwerktoegang tot de webinterface nodig en een geldige sessie op het VCO-portal, maar de rol Enterprise Read Only volstaat al. Dat is de laagste ingebouwde tenantrol. Volgens Arista staat VCO standaard open en is er geen configuratie die de blootstelling voorkomt. Bij succes komen vertrouwelijkheid, integriteit en beschikbaarheid van de orchestrator en de beheerde data in gevaar, en kan ook de host zelf geraakt worden. Arista vond het probleem zelf.
Indicators of compromise en tijdelijke maatregelen
Arista zag aanvallen vanaf 74.82.197.86 en 38.54.50.151. Blokkeer die adressen en zoek ze terug in je logs. Let ook op requests met vreemde URL-achtige padcomponenten, encoded tekens, verwijzingen naar lokale of interne services en opvallend hoge request rates. Vermoed je een compromittering, bewaar dan eerst webaccess-, backend-, systeem- en databaselogs plus file-system timestamps voordat je herstelt. Tot de update draait, adviseert Arista de webinterface alleen open te zetten voor vertrouwde beheernetwerken, uitgaand verkeer van de VCO-host te monitoren en te zoeken naar webshells en backdoor daemons.
Meer via https://www.arista.com/en/support/advisories-notices/security-advisory/24838-security-advisory-0199
