Arista Networks hat am 22. Oktober einen Sicherheitshinweis veröffentlicht, in dem vor der aktiven Ausnutzung der kritischen Schwachstelle CVE-2026-114625 in VeloCloud Orchestrator (VCO) gewarnt wird – dem zentralen Managementsystem für VeloCloud-SD-WAN-Netzwerke. Die Schwachstelle vom Typ SQL injection (CWE-89) ermöglicht es jedem authentifizierten Nutzer, einschließlich Inhabern der Minimalrolle Enterprise Read Only, eine Rechteausweitung bis auf die Ebene eines Operator-Superusers durchzuführen und Zugriff auf interne Funktionen zu erhalten, die nicht für die Remote-Nutzung vorgesehen sind. Die Bewertung nach CVSS v3.1 beträgt 9.9, nach CVSS v4.0 9.4. Organisationen mit lokalen VCO-Deployments auf den Zweigen 5.2, 6.1 und 6.4 müssen umgehend die korrigierten Versionen installieren oder temporäre Schutzmaßnahmen umsetzen.
Technische Details der Schwachstelle
Dem Sicherheitshinweis von Arista zufolge benötigt ein Angreifer für die Ausnutzung von CVE-2026-114625 zwei Voraussetzungen: Netzwerkzugang zur VCO-Weboberfläche und eine gültige authentifizierte Sitzung. Dabei genügt die minimale integrierte Rolle – Enterprise Read Only, die niedrigste Zugriffsstufe für Kundenbenutzer. VCO ist standardmäßig von außen erreichbar, und keine Konfigurationseinstellung ermöglicht es, diese Exposition zu beseitigen.
Eine erfolgreiche Ausnutzung erlaubt es dem Angreifer, im Namen des lokalen Operator-Superusers zu agieren – einer Rolle mit vollem Zugriff auf den Orchestrator. Dies kann zur Kompromittierung von Vertraulichkeit, Integrität und Verfügbarkeit sowohl des Orchestrators selbst als auch der von ihm verwalteten Daten führen. Arista weist zudem darauf hin, dass sich die Ausnutzung auch auf das VCO-Hostsystem auswirken kann.
Betroffene Versionen und Fixes
Die Schwachstelle betrifft lokale Deployments von VeloCloud Orchestrator On-Prem (früher VeloCloud Orchestrator by Broadcom) der folgenden Versionen:
- VCO 5.2.x bis Version 5.2.3.18 (exklusive)
- VCO 6.1.x bis Version 6.1.3.10 (exklusive)
- VCO 6.4.x bis Version 6.4.2.12 (exklusive)
Die behobenen Versionen sind: VCO 5.2.3.18, 6.1.3.10 und 6.4.2.12. Cloud (Hosted)- und Dedicated-Deployments von VCO wurden bereits gepatcht. Die Komponenten VeloCloud Gateway und VeloCloud Edge sind von dieser Schwachstelle nicht betroffen. Die 7.0er-Linie ist ebenfalls nicht betroffen. Von Arista nicht getestet wurden Versionen, deren Support ausgelaufen ist – Kunden auf solchen Zweigen wird empfohlen, sich an den TAC zu wenden, um mögliche Upgrade-Optionen zu besprechen.
Ein wichtiger Punkt: Orchestratoren, die zur Beseitigung der vorherigen Schwachstellen aus Juli und September aktualisiert wurden, bleiben gegenüber CVE-2026-114625 verwundbar, da diese Fix-Stände älter sind als die neuen Patches.
Serie von VCO-Schwachstellen: Kontext
CVE-2026-114625 ist die dritte Zero-Day-Schwachstelle in VeloCloud Orchestrator, über die Arista seit Ende Juli berichtet. Im Juli wurde CVE-2026-16812 offengelegt – eine Schwachstelle zur Ausführung von Betriebssystembefehlen (CWE-78) mit CVSS-Bewertung 10.0, die keine Authentifizierung erforderte. Im September folgte CVE-2026-93952 – ein Fehler bei der Eingabevalidierung (CWE-20) mit CVSS 10.0, der ebenfalls keine Zugangsdaten benötigte. Beide vorherigen Schwachstellen wurden als aktiv ausgenutzt in den CISA KEV-Katalog aufgenommen.
Wir haben beide vorherigen Schwachstellen bereits detailliert analysiert: CVE-2026-16812 in VeloCloud Orchestrator und CVE-2026-93952 mit CVSS 10.0.
Die aktuelle Schwachstelle unterscheidet sich von den beiden vorherigen dadurch, dass sie Authentifizierung erfordert. Dennoch bleibt die Einstiegshürde gering: Die Rolle Enterprise Read Only ist die minimale Zugriffsstufe, die jeder Kundenbenutzer erhält. In der VCO-Architektur legen Operatoren Konten für Kunden und Partner an, und jeder Partner verwaltet eine Gruppe von Kunden. Damit wird jedes kompromittierte Konto beliebiger Ebene zum Ausgangspunkt für die vollständige Übernahme des Orchestrators.
Es ist erwähnenswert, dass zum Zeitpunkt der Veröffentlichung des Oktober-Sicherheitshinweises der Fix für die September-Schwachstelle CVE-2026-93952 für den Zweig 6.1 noch nicht veröffentlicht war – Fixes standen nur für die Zweige 5.2 und 6.4 zur Verfügung. Der Sicherheitshinweis präzisiert nicht, ob Version 6.1.3.10 auch die September-Schwachstelle behebt.
Indikatoren einer Kompromittierung
Nach Angaben von Arista wurden die Angriffe von zwei IP-Adressen aus durchgeführt:
- 74.82.197[.]86
- 38.54.50[.]151
Arista empfiehlt, diese Adressen zu blockieren und die Protokolle auf Zugriffe von ihnen zu prüfen. Zusätzlich sollten die Web-Zugriffsprotokolle des VCO auf Anfragen mit ungewöhnlichen Pfadkomponenten, kodierten Zeichen, Aufrufen lokaler oder interner Dienste sowie ungewöhnlich hoher Anfragerate analysiert werden.
Der Sicherheitshinweis legt nicht offen, wann die Angriffe begonnen haben, welche Organisationen betroffen waren und welche Aktionen die Angreifer nach der Ausnutzung durchgeführt haben. Ebenso bleibt offen, ob diese Schwachstelle einen Zugriff auf VeloCloud-Edge-Geräte ermöglicht – während Arista für die Schwachstellen vom Juli und September vor einer solchen Möglichkeit gewarnt hatte.
Empfehlungen zum Schutz
Falls ein sofortiges Update nicht möglich ist, empfiehlt Arista folgende temporäre Maßnahmen:
- Den Zugriff auf die VCO-Weboberfläche auf vertrauenswürdige administrative Netzwerke beschränken
- Verbindungen zum VCO von bekannten bösartigen IP-Adressen überwachen
- Ungewöhnliche ausgehende Netzwerkaktivität vom VCO-Host überwachen
- Die Blockierung ausgehender Ports in Erwägung ziehen, die für den regulären Betrieb nicht erforderlich sind
- Auf das Vorhandensein von Backdoors und Webshells prüfen
- Protokolle administrativer Aktionen auf unerwartete Änderungen analysieren
Bei Verdacht auf eine Kompromittierung empfiehlt Arista nachdrücklich, Beweise vor Beginn jeglicher Wiederherstellungsmaßnahmen zu sichern: Web-Zugriffsprotokolle des VCO, Protokolle der Serveranwendung, System- und Datenbankprotokolle sowie Zeitstempel des Dateisystems.
Drei kritische Zero-Day-Schwachstellen in VeloCloud Orchestrator innerhalb von drei Monaten – alle mit bestätigter aktiver Ausnutzung – zeichnen ein konsistentes Bild eines gezielten Drucks auf SD-WAN-Infrastrukturen. Organisationen mit lokalen VCO-Deployments sollten das Update auf die behobenen Versionen (5.2.3.18, 6.1.3.10, 6.4.2.12) als Aufgabe höchster Priorität betrachten und parallel eine retrospektive Analyse der Protokolle auf Anzeichen einer Kompromittierung anhand der genannten IOC durchführen.
