Heb je een eigen VeloCloud Orchestrator (VCO) in het datacenter staan? Check dan vandaag nog welke versie erop draait. Arista meldde op 22 september een kwetsbaarheid in de on-premises versie van de SD-WAN-orchestrator die al actief word uitgebuit. Het NCSC publiceerde dezelfde dag beveiligingsadvies NCSC-2026-0385, met kans medium en schade high.
Wat is CVE-2026-93952 precies
Via het lek komt een aanvaller op afstand bij geprivilegieerde interne functionaliteit van de VCO, zonder inloggegevens van een tenant of operator. Arista geeft het een CVSS 3.1-score van 10.0 en onder CVSS 4.0 een 9.5. Er gelden wel voorwaarden. De Edges moeten zich met certificaten bij de orchestrator authenticeren, de aanvaller heeft het publieke deel van zo’n Edge-certifcaat nodig en de webinterface van de VCO moet voor hem bereikbaar zijn. Dat publieke deel is per definitie niet geheim, dus veel geruststelling haal ik uit die voorwaarde eerlijk gezegd niet.
Kwetsbaar zijn de releases tot en met 5.2.3.15, 6.1.3.7, 6.4.2.7 en 7.0.0.2 in hun eigen trein. Hosted en Dedicated VCO’s heeft Arista zelf al bijgewerkt.
Welke VCO-versies al een fix hebben
Er zijn gepatchte releases voor de 5.2.3-versies (5.2.3.16 en hoger) en de 6.4.2-versies (6.4.2.8 en hoger). Voor 6.1 en 7.0 staat nog geen fix op de adviespagina van Arista. Die volgen later. Draai je een release buiten support, dan loopt het upgradepad via Arista TAC.
Tot die tijd adviseren Arista en het NCSC om de webinterface alleen bereikbaar te maken vanuit vertrouwde beheernetwerken. Ik zou dat vandaag regelen, ook als je patch al ingepland staat. Een beheerinterface van je complete WAN hoort gewoon niet vanaf internet benaderbaar te zijn.
Meer via https://www.arista.com/en/support/advisories-notices/security-advisory/24765-security-advisory-0183
