Selbst eine Anmeldung mit Leserechten kann Angreifern über eine kritische Schwachstelle in Arista VeloCloud Orchestrator privilegierten Operatorzugriff ermöglichen. Arista hat die aktive Ausnutzung bestätigt. Damit haben betroffene Systeme bei der Behebung und Untersuchung sofortige Priorität.
Die CISA nahm CVE-2026-114625 am 23. Okt. in ihren Katalog der bekannten ausgenutzten Schwachstellen (KEV) auf, nachdem Arista Angriffe bestätigt hatte. Die SQL-Injection-Schwachstelle mit einem CVSS-v3.1-Wert von 9,9 betrifft den On-Premises-Betrieb von VeloCloud Orchestrator, einem Managementsystem für softwaredefinierte Weitverkehrsnetze (SD-WAN). Angreifer benötigen gültige Portal-Zugangsdaten, doch selbst die niedrigste Rolle „Enterprise Read Only“ kann zu Zugriff auf Bedienerebene führen. Administratoren müssen die installierten Versionen prüfen und frühere Aktivitäten untersuchen, statt lediglich ein Upgrade einzuplanen.
Lesender Zugriff kann zu privilegierter Operator-Kontrolle führen
In seinem Sicherheitsbulletin vom 22. Okt. warnte Arista davor, dass Angreifer mit Portalzugriff die Schwachstelle ausnutzen könnten, um lokale Superuser-Operatorrechte zu erlangen und auf eingeschränkte interne Funktionen zuzugreifen.
Das Unternehmen bestätigte die aktive Ausnutzung, hat die Angreifer jedoch nicht identifiziert, keine Angaben zur Zahl der betroffenen Organisationen gemacht und nicht erläutert, was nach der Rechteausweitung geschah.
Arista erklärte, die gehosteten VCO-Dienste, einschließlich dedizierter Bereitstellungen, bereits gepatcht zu haben. VeloCloud-Edge- und -Gateway-Geräte sind nicht direkt betroffen, während Orchestrator-Versionen außerhalb des Supports nicht untersucht wurden.
CISA nimmt die Schwachstelle in ihren Katalog ausgenutzter Schwachstellen auf
Die CISA nahm CVE-2026-114625 am 23. Okt. in ihren Katalog der bekannten ausgenutzten Schwachstellen auf und stufte sie als Schwachstelle ein, die bei Angriffen in der Praxis ausgenutzt wurde.
The Hacker News berichtete, dass dies die dritte seit Juli veröffentlichte, aktiv ausgenutzte Schwachstelle in VeloCloud Orchestrator ist – nach CVE-2026-16812 und CVE-2026-93952. Organisationen, die die früheren Schwachstellen behoben haben, könnten für das aktuelle Problem weiterhin anfällig sein.
Laut dem Sicherheitsbulletin von Arista müssen betroffene On-Premises-Bereitstellungen auf Version 5.2.3.18, 6.1.3.10 oder 6.4.2.12 beziehungsweise auf spätere unterstützte Versionen innerhalb des jeweiligen Release-Zweigs aktualisiert werden. Frühere Versionen dieser Zweige bleiben anfällig.
Auch private Organisationen, die betroffene Systeme betreiben, sollten die Behebung priorisieren. Da die Ausnutzung bereits bestätigt ist, sollten Administratoren ihre installierten Versionen überprüfen, statt davon auszugehen, dass frühere Sicherheitsupdates Schutz bieten. Eine separate aktiv ausgenutzte SharePoint-Schwachstelle unterstreicht ebenfalls, wie wichtig es ist, installierte Builds zu prüfen und eine mögliche Kompromittierung zu untersuchen.
Sicherheitsteams müssen über das Patchen hinaus ermitteln
Für Unternehmen und Anbieter verwalteter Netzwerke besteht die unmittelbare Gefahr darin, dass ein kompromittiertes Konto mit geringen Rechten Verwaltungsfunktionen innerhalb eines zentralisierten SD-WAN-Managementsystems offenlegen könnte. Eine separate aktiv ausgenutzte Schwachstelle im Cisco SD-WAN Manager legte ebenfalls administrativen Zugriff offen.
Aviatrix identifizierte mögliche Folgen eines solchen Zugriffs, darunter laterale Bewegungen und Datendiebstahl. Dabei handelt es sich weiterhin um mögliche Angriffsszenarien und nicht um bestätigte Folgen der aktuellen Angriffskampagne.
Sicherheitsteams sollten drei Maßnahmen priorisieren:
- Betroffene Systeme prüfen und patchen. Prüfen Sie die laufende Orchestrator-Version anhand der neuesten von Arista bereitgestellten fehlerbereinigten Versionen. Organisationen, die nicht unterstützte Versionen einsetzen, sollten sich an Arista wenden.
- Administrativen Zugriff einschränken. Beschränken Sie die VCO-Weboberfläche auf vertrauenswürdige Netzwerke und überprüfen Sie Konten mit Lese-, Partner- und Administrationsrechten auf unnötige Zugriffsrechte oder verdächtige Aktivitäten.
- Mögliche Kompromittierung untersuchen. Untersuchen Sie ungewöhnliche Webanfragen, unerwartete Änderungen durch Administratoren, ausgehende Verbindungen und andere Anzeichen für unbefugten Zugriff. Besteht der Verdacht auf eine Kompromittierung, sollten relevante Protokolle und Zeitstempel des Dateisystems vor der Behebung gesichert werden, sofern dies betrieblich möglich ist.
Arista identifizierte 74.82.197.86 und 38.54.50.151 als IP-Adressen, von denen aus Angriffe beobachtet wurden. Ihr Fehlen in den Sicherheitsprotokollen schließt eine mögliche Kompromittierung jedoch nicht aus.
Organisationen, die mehrere Niederlassungen oder Kundenumgebungen verwalten, sollten sich mit Netzwerkadministratoren abstimmen, um Konfigurationsänderungen zu überprüfen, möglicherweise kompromittierte Zugangsdaten zu bewerten und festzustellen, ob weitere Maßnahmen zur Reaktion auf den Vorfall erforderlich sind. Auch die Offenlegung von Zugangsdaten ist bei der separaten SAP-Cloud-SDK-Schwachstelle ein Problem, da dadurch Geheimnisse offengelegt werden könnten, die für den Zugriff auf verbundene Dienste verwendet werden.
Für Sicherheitsverantwortliche ist die Installation des Updates nur ein Teil der Reaktion. Sie behebt die Schwachstelle, zeigt aber nicht, ob Angreifer zuvor privilegierten Zugriff erlangt oder einen weiteren Zugang zum System hinterlassen haben. Teams sollten die Aktivitäten in der Vergangenheit überprüfen und verdächtige Änderungen untersuchen, bevor sie den Vorfall als abgeschlossen erklären.
Außerdem lesenswert: VeloCloud ist nicht die einzige Plattform, die derzeit angegriffen wird. Hacker nutzen auch einen kritischen Fehler in Collabora aus, um Nextcloud-Server mit Webshells zu kompromittieren.