CVSS 10-Schwachstelle im VeloCloud von Arista wird am Donnerstag Frist für Bundesbehörden und wird bereits in Angriffen ausgenutzt

Arista hat am Montag (27.) das Security Advisory 0144 veröffentlicht, um eine Schwachstelle in der Befehlssatz-Injektion im VeloCloud Orchestrator On-Premises zu beheben, die die höchste CVSS-Bewertung von 10.0 erhalten hat. Der CVE-2026-16812 ermöglicht es einem Angreifer ohne Berechtigungen, lediglich mit Netzwerkzugang zur Web-Oberfläche des Orchestrators, willkürliche Befehle im Betriebssystem des Hosts auszuführen und damit jede Verbindung zu Außenstellen oder Rechenzentren, die von ihm verwaltet werden, neu zu konfigurieren oder abzubauen.

Die CISA hat die Schwachstelle am gleichen Tag der Veröffentlichung von Arista in ihr Katalog der bekannten ausgenutzten Schwachstellen aufgenommen und signalisiert, dass die aktive Ausnutzung vor dem Patch stattfindet. Gemäß der Binding Operational Directive 26-04 haben zivile Bundesbehörden der Vereinigten Staaten bis zum kommenden Donnerstag, 30. Juli, Zeit, die korrigierten Versionen: 5.2.3.14, 6.1.3.4, 6.4.2.4 und 7.0.0.1 zu installieren.

Was die Schwachstelle erlaubt

Der VeloCloud Orchestrator ist das zentrale Dashboard jeder SD-WAN-Implementierung der Technologie, die Arista 2024 von Broadcom übernommen hat, als der Chiphersteller das Vermögen nach der Übernahme von VMware verkauft hat. Eine typische Organisation nutzt den Orchestrator, um CPEs in Hunderte oder Tausende von Außenstellen bereitzustellen, Routing-Richtlinien zu verteilen und Telemetriedaten aus dem gesamten Backbone zu sammeln. Wer den Orchestrator kontrolliert, kontrolliert in der Praxis das gesamte WAN-Netzwerk des Unternehmens.

Die technische Beschreibung des Fehlers entspricht dem, was bei einer grundlegenden Sicherheitsüberprüfung erscheint: Eine privilegierte Funktion für den internen Gebrauch wurde ohne Authentifizierungsüberprüfung in der Web-Oberfläche exponiert, und einer der akzeptierten Parameter dieser Funktion wird direkt an die Shell des Systems weitergegeben. Ein Angreifer, der die URL entdeckt, führt Befehle als Root aus. Arista schreibt den Fund einer externen Quelle zu, was in der Branchensprache oft auf unabhängige Forscher oder ein Incident Response Team hindeutet, das den Missbrauch bereits im Feld beobachtet hat.

Bis zum Abschluss dieses Berichts hatte Arista keine öffentlichen Informationen über die Anzahl der identifizierten verwundbaren Instanzen veröffentlicht und auch keine Details zur Herkunft der Angriffe bereitgestellt.

Warum das Patch-Fenster unmöglich ist

Das offizielle Zeitfenster gibt dem amerikanischen öffentlichen Sektor drei Tage, um Abhilfe zu schaffen. Für den privaten Sektor ist der Zeitrahmen in der Theorie lockerer, aber nicht in der Praxis. Ein stillstehender VeloCloud-Orchestrator bedeutet, die Sichtbarkeit und Kontrolle über das gesamte WAN zu verlieren, und kein Betreiber akzeptiert Wartungsfenster ohne Genehmigung. Banken und Betreiber, die von einer CAB-Änderung abhängen, benötigen häufig zwischen 15 und 45 Tagen, um ein Upgrade in der Produktion zu planen.

In diesem Zeitfenster wird die Exposition kritisch. Ein Shodan-Scan nach den typischen HTTP-Signaturen des VCO findet weltweit Tausende von exponierten Instanzen, viele davon aufgrund administrativer Fehler, da der Orchestrator für den Betrieb in einem privaten Netzwerk mit VPN-Zugang konzipiert wurde.

Wo der Einfluss spürbar wird

In den Vereinigten Staaten ist VeloCloud stark in den Netzwerken von mittelständischen Einzelhändlern und Franchiseunternehmen präsent, die die Konnektivität zwischen ihren Filialen über SD-WAN standardisieren. Der Druck der CISA bringt ein sofortiges Reputationsrisiko mit sich: Eine in der Bundesbehörden-Überprüfung identifizierte verwundbare Instanz kann zu Compliance-Aktionen für Lieferanten in Verträgen mit der GSA führen.

Im Vereinigten Königreich und Deutschland hat VeloCloud eine relevante Installationsbasis bei Anbietern, die SD-WAN als verwalteten Dienst anbieten. BT, Vodafone Business und Deutsche Telekom bieten verwaltete Dienste auf der Plattform an. Eine Schwachstelle im zentralen Orchestrator des Anbieters schafft ein Kettenkompromittierungsrisiko für alle Multi-Tenant-Kunden, die auf diesem Controller gehostet werden – eine Angriffsfläche, die sich kaum auf einen einzigen Endkunden beschränkt.

Was in den nächsten 48 Stunden zu tun ist

Der minimale Schritt des CISO an diesem Donnerstag besteht darin, zu bestätigen, ob eine der VCO-On-Prem-Instanzen der Organisation, die von einem MSP betrieben wird oder nicht, auf die korrigierten Versionen migriert wurde. Falls die Antwort negativ ausfällt, ist die temporäre Eindämmungsmaßnahme, die Arista als Übergangslösung bis zum Upgrade vorschlägt, die Sperrung des externen Zugangs zum Web-Dashboard über WAF oder IP-Whitelist. Protokolle über Zugriffe auf privilegierte Endpunkte sollten für die nächsten 60 Tage aufbewahrt werden.

Die strukturelle Lehre ist die gleiche wie bei der Ausnutzung der Schwachstellen von Ivanti Connect Secure im Jahr 2024 und den Schwachstellen von Fortinet FortiOS, die auch am Montag von der CISA katalogisiert wurden: Die Management-Oberfläche für Unternehmensnetzwerkgeräte ist die Frontlinie der kommenden Welle von Kompromittierungen, und der Trend, Managementkonsolen im Internet auszusetzen, bleibt bestehen, obwohl der Anbieter seit Jahren davon abrät.