Même un accès en lecture seule peut donner aux attaquants des privilèges d’opérateur élevés en exploitant une faille critique d’Arista VeloCloud Orchestrator. Arista a confirmé l’exploitation active de cette faille, faisant des systèmes concernés une priorité immédiate en matière de mise à jour et d’investigation.
La CISA a ajouté CVE-2026-114625 à son catalogue des vulnérabilités exploitées connues (KEV) le 23 octobre, après la confirmation d’attaques par Arista. Cette faille d’injection SQL, notée 9,9 selon CVSS v3.1, affecte VeloCloud Orchestrator sur site, un système de gestion des réseaux étendus définis par logiciel (SD-WAN). Les attaquants ont besoin d’identifiants de portail valides, mais même le rôle Enterprise Read Only, doté des privilèges les plus faibles, peut mener à un accès de niveau opérateur. Les administrateurs doivent vérifier les versions installées et rechercher des activités antérieures, plutôt que de se contenter de planifier une mise à niveau.
Un accès en lecture seule peut mener au contrôle privilégié de l’opérateur
Dans son avis du 22 octobre, Arista a averti que des attaquants disposant d’un accès au portail pourraient exploiter la vulnérabilité pour obtenir des privilèges d’opérateur de superutilisateur local et accéder à des fonctions internes restreintes.
L’entreprise a confirmé l’exploitation active, mais n’a pas identifié les attaquants, révélé le nombre d’organisations affectées ni précisé ce qui s’est produit après l’élévation des privilèges.
Arista a indiqué avoir déjà corrigé les services VCO hébergés, y compris les déploiements dédiés. Les appareils VeloCloud Edge et Gateway ne sont pas directement affectés, tandis que les versions d’Orchestrator en fin de support n’ont pas été évaluées.
La CISA ajoute la faille à son catalogue des vulnérabilités exploitées
La CISA a ajouté CVE-2026-114625 à son catalogue des vulnérabilités exploitées connues le 23 octobre, l’identifiant comme une vulnérabilité exploitée lors d’attaques réelles.
The Hacker News a indiqué qu’il s’agissait de la troisième vulnérabilité de VeloCloud Orchestrator activement exploitée révélée depuis juillet, après CVE-2026-16812 et CVE-2026-93952. Les organisations qui ont appliqué les correctifs à ces failles précédentes peuvent néanmoins rester vulnérables à la dernière en date.
Selon l’avis de sécurité d’Arista, les déploiements sur site concernés doivent être mis à niveau vers la version 5.2.3.18, 6.1.3.10 ou 6.4.2.12, ou vers une version ultérieure prise en charge dans leur branche de publication respective. Les versions antérieures de ces branches restent vulnérables.
Les organisations privées qui exploitent des systèmes concernés doivent également donner la priorité à la remédiation. L’exploitation étant déjà confirmée, les administrateurs doivent vérifier les versions installées plutôt que de supposer que les précédentes mises à jour de sécurité assurent une protection. Une vulnérabilité distincte de SharePoint activement exploitée souligne de la même manière la nécessité de vérifier les versions installées et de rechercher les signes d’une compromission éventuelle.
Les équipes de sécurité doivent aller au-delà de l’application des correctifs
Pour les entreprises et les fournisseurs de réseaux gérés, le problème immédiat est qu’un compte compromis disposant de faibles privilèges pourrait exposer des fonctions d’administration au sein d’un système centralisé de gestion SD-WAN. Une faille distincte de Cisco SD-WAN Manager activement exploitée a également exposé un accès administratif.
Aviatrix a identifié plusieurs conséquences possibles d’un tel accès, notamment des déplacements latéraux et le vol de données. Il s’agit toutefois de scénarios d’attaque possibles, et non de conséquences confirmées de la campagne d’exploitation actuelle.
Les équipes de sécurité doivent donner la priorité à trois actions :
- Vérifier et corriger les systèmes concernés. Vérifiez la version d’Orchestrator en cours d’exécution par rapport aux dernières versions corrigées d’Arista. Les organisations utilisant des versions non prises en charge doivent contacter Arista pour obtenir des conseils.
- Restreindre l’accès administratif. Limitez l’interface web de VCO aux réseaux de confiance et examinez les comptes en lecture seule, partenaires et administrateurs afin de repérer tout accès inutile ou toute activité suspecte.
- Rechercher les signes d’une compromission. Examinez les requêtes web inhabituelles, les modifications inattendues des administrateurs, les connexions sortantes et tout autre signe d’accès non autorisé. En cas de compromission suspectée, conservez les journaux pertinents et les horodatages du système de fichiers avant la remédiation, lorsque cela est possible sur le plan opérationnel.
Arista a identifié 74.82.197.86 et 38.54.50.151 comme des adresses IP observées lors d’attaques. Toutefois, leur absence des journaux de sécurité n’exclut pas une compromission potentielle.
Les organisations qui gèrent plusieurs agences ou environnements clients doivent se coordonner avec les administrateurs réseau pour examiner les modifications de configuration, évaluer les identifiants potentiellement compromis et déterminer si une intervention supplémentaire à la suite de l’incident est nécessaire. L’exposition d’identifiants constitue également un problème dans la vulnérabilité du SAP Cloud SDK, qui pourrait exposer les secrets utilisés pour accéder aux services connectés.
Pour les responsables de la sécurité, l’installation de la mise à jour ne constitue qu’une partie de la réponse. Elle corrige la vulnérabilité, mais ne permet pas de déterminer si des attaquants ont auparavant obtenu un accès privilégié ou laissé un autre moyen d’entrer dans le système. Les équipes doivent examiner l’activité historique et rechercher les modifications suspectes avant de déclarer l’incident résolu.
À lire aussi : VeloCloud n’est pas la seule plateforme à faire face à des attaques actives. Des hackers exploitent également une faille critique de Collabora pour compromettre des serveurs Nextcloud avec des webshells.