Arista meldet Angriffe auf VeloCloud Orchestrator-Schwachstelle

Arista Networks veröffentlichte am 22. Oktober eine Sicherheitswarnung, in der mitgeteilt wird, dass die CVE-2026-114625, eine SQL-Injection-Schwachstelle im Webportal des VeloCloud Orchestrators, bereits von Angreifern ausgenutzt wird. Die Verwundbarkeit erhielt eine Bewertung von 9,9 von 10 im CVSS 3.1, laut der von The Hacker News und BleepingComputer reproduzierten Warnung des Unternehmens. Es ist die dritte Schwachstelle, die in den letzten drei Monaten im SD-WAN-Orchestrator von Arista ausgenutzt wird.

Der Angriffsvektor erfordert einen Login, und hier liegt das Problem. Es reicht bereits ein Konto mit dem niedrigsten Profil des Produkts, Enterprise Read Only, damit der Angreifer seine Privilegien auf Operatorlevel erhöht und Funktionen erreicht, die nur intern zugänglich sein sollten. Mit anderen Worten, eine Leseberechtigung, wie sie Auditors, NOC-Analysten und Kunden von Managed Service Providers zur Verfügung gestellt wird, wird zu administrativem Zugang.

Was aktualisiert werden muss

Arista informiert, dass die von ihnen betriebenen Hosted und Dedicated Instanzen bereits gepatcht wurden. Kunden mit On-Premises-Orchestrator müssen die Versionen 5.2.3.18, 6.1.3.10 oder 6.4.2.12 installieren. Ein weniger offensichtlicher Punkt: Umgebungen, die die Patches von Juli und September angewendet haben, bleiben anfällig, da diese Builds unter den neuen Versionen liegen, laut Analysen, die nach der Warnung veröffentlicht wurden.

Das Unternehmen hat nicht bekannt gegeben, wie viele Kunden betroffen sind, noch wer hinter der Ausnutzung steht. Bis zur Veröffentlichung der Warnung war die Schwachstelle nicht im catalogo von exploitierten Verwundbarkeiten (KEV) der CISA, der amerikanischen Cybersicherheitsbehörde, aufgeführt.

Ein Muster, kein Zufall

Im Juli wurde die CVE-2026-16812, eine Authentifizierungslose Kommandoinjection mit einer Bewertung von 10,0, am 27. Juli im KEV-Katalog der CISA aufgenommen, nach Beweisen für aktive Ausnutzung. Im September folgte die CVE-2026-93952, ebenfalls mit einer Bewertung von 10,0, die Orchestratoren betrifft, die mit Zertifikatsauthentifizierung zwischen den Edge-Geräten und dem VCO konfiguriert sind. Drei hintereinander ausgenutzte Schwachstellen im selben Bauteil deuten darauf hin, dass eine Gruppe das Produkt systematisch untersucht, obwohl weder Arista noch die CISA die Angriffe einem bestimmten Akteur zugeordnet haben oder gesagt haben, ob die drei Kampagnen aus der gleichen Quelle stammen.

Der VeloCloud ist die SD-WAN-Reihe, die Arista 2025 von Broadcom erworben hat, die aus dem Portfolio von VMware stammt. Für Arista, deren Kerngeschäft aus Datacenter-Switches besteht, wiegt die jüngste Historie schwer in Gesprächen mit Unternehmenskunden, die evaluieren, das Campus- und WAN-Netzwerk beim selben Anbieter zu konsolidieren.

Wer ist am stärksten gefährdet

Der Orchestrator ist der Punkt, der alle Edge-Geräte eines SD-WAN-Netzes konfiguriert und überwacht. Einen VCO zu kompromittieren, bedeutet potenziell, Zugang zu den Routing-Richtlinien von Hunderten von Filialen auf einmal zu erhalten. Bei Anbietern und Managed Service Providers, die einen einzigen On-Premises-Orchestrator für mehrere Kunden betreiben, vervielfacht sich das Risiko: Das Lesekonto, das der Anbieter jedem Kunden für die Überwachung des eigenen Vertrags zur Verfügung stellt, ist genau das Profil, das die Schwachstelle erfordert.

In den Vereinigten Staaten, sollte die CISA die CVE-2026-114625 in den KEV-Katalog aufnehmen, wie sie es mit den beiden vorhergehenden getan hat, sind zivile Bundesbehörden dazu verpflichtet, innerhalb der von der BOD 22-01-Direktive festgelegten Frist zu patchen, und der Privatsektor neigt dazu, die Liste als Prioritätenskala zu verwenden.

In der Europäischen Union müssen Einrichtungen, die unter die NIS2-Direktive fallen, zu denen auch Managed Service Provider und Betreiber gehören, innerhalb von 24 Stunden nach Kenntnisnahme eines signifikanten Vorfalls eine erste Warnung an die nationale Behörde senden. Ein kompromittierter Orchestrator, der mehrere Kunden bedient, dürfte kaum unter diesem Schwellenwert liegen.

In Brasilien gibt die Resolution CD/ANPD Nr. 15 von 2024 dem Verantwortlichen drei Werktage Zeit, um einen Vorfall mit relevantem Risiko oder Schaden der Behörde und den Betroffenen zu melden. In Einzelhandels- und Banknetzwerken mit Hunderten von Filialen, die über SD-WAN verbunden sind, wird ein Zugang zum Orchestrator wahrscheinlich Datenverkehrs- und Konfigurationsdaten beinhalten, bevor er persönliche Daten berührt, was die Bewertung von "relevantem Risiko" erschwert, aber nicht weniger dringend macht.

Für den CISO geht die praktische Frage über das Patchen hinaus. Drei Schwachstellen, die in einem Quartal in einem öffentlich zugänglichen Managementplan ausgenutzt werden, fordern, dass die Schnittstelle des Orchestrators aus dem öffentlichen Netz entfernt und hinter eine VPN oder eine eingeschränkte Adressliste gestellt wird, und dass Lesekonten wieder als sensible Anmeldeinformationen behandelt werden. Der Patch schließt die CVE-2026-114625. Die Architektur entscheidet darüber, ob es eine vierte geben wird.