Arista Networks 22 октября опубликовала бюллетень безопасности, в котором предупреждает об активной эксплуатации критической уязвимости CVE-2026-114625 в VeloCloud Orchestrator (VCO) — центральной системе управления SD-WAN-сетями VeloCloud. Уязвимость типа SQL-инъекция (CWE-89) позволяет любому аутентифицированному пользователю, включая обладателей минимальной роли Enterprise Read Only, повысить привилегии до уровня оператора-суперпользователя и получить доступ к внутренним функциям, не предназначенным для удалённого использования. Оценка CVSS v3.1 составляет 9.9, CVSS v4.0 — 9.4. Организациям с локальными развёртываниями VCO на ветках 5.2, 6.1 и 6.4 необходимо немедленно установить исправленные версии или применить временные меры защиты.
Технические детали уязвимости
Согласно бюллетеню Arista, для эксплуатации CVE-2026-114625 атакующему необходимы два условия: сетевой доступ к веб-интерфейсу VCO и действующая аутентифицированная сессия. При этом достаточно минимальной встроенной роли — Enterprise Read Only, самого низкого уровня доступа для клиентских пользователей. VCO по умолчанию доступен извне, и ни одна настройка конфигурации не позволяет устранить эту экспозицию.
Успешная эксплуатация позволяет атакующему действовать от имени локального суперпользователя-оператора — роли с полным доступом к оркестратору. Это может привести к компрометации конфиденциальности, целостности и доступности как самого оркестратора, так и управляемых им данных. Arista также указывает, что эксплуатация может затронуть хост-систему VCO.
Затронутые версии и исправления
Уязвимость затрагивает локальные развёртывания VeloCloud Orchestrator On-Prem (ранее VeloCloud Orchestrator by Broadcom) следующих версий:
- VCO 5.2.x до версии 5.2.3.18
- VCO 6.1.x до версии 6.1.3.10
- VCO 6.4.x до версии 6.4.2.12
Исправленные версии: VCO 5.2.3.18, 6.1.3.10 и 6.4.2.12 соответственно. Облачные (Hosted) и выделенные (Dedicated) развёртывания VCO уже получили патчи. Компоненты VeloCloud Gateway и VeloCloud Edge этой уязвимости не подвержены. Ветка 7.0 также не затронута. Версии, достигшие конца поддержки, Arista не проверяла — клиентам на таких ветках рекомендовано обратиться в TAC для обсуждения вариантов обновления.
Важный нюанс: оркестраторы, обновлённые для устранения предыдущих уязвимостей июля и сентября, остаются уязвимыми к CVE-2026-114625, поскольку те версии исправлений старше новых патчей.
Серия уязвимостей VCO: контекст
CVE-2026-114625 — третья уязвимость нулевого дня в VeloCloud Orchestrator, о которой Arista сообщает с конца июля. В июле была раскрыта CVE-2026-16812 — уязвимость внедрения команд ОС (CWE-78) с оценкой CVSS 10.0, не требовавшая аутентификации. В сентябре последовала CVE-2026-93952 — ошибка валидации входных данных (CWE-20) с CVSS 10.0, также не требовавшая учётных данных. Обе предыдущие уязвимости были внесены в каталог CISA KEV как активно эксплуатируемые.
Мы уже подробно разбирали обе предыдущие уязвимости: CVE-2026-16812 в VeloCloud Orchestrator и CVE-2026-93952 с CVSS 10.0.
Текущая уязвимость отличается от двух предыдущих тем, что требует аутентификации. Однако барьер входа остаётся низким: роль Enterprise Read Only — это минимальный уровень доступа, который получает любой клиентский пользователь. В архитектуре VCO операторы создают учётные записи клиентов и партнёров, а каждый партнёр управляет группой клиентов. Таким образом, скомпрометированная учётная запись любого уровня становится отправной точкой для полного захвата оркестратора.
Стоит отметить, что на момент публикации октябрьского бюллетеня исправление сентябрьской уязвимости CVE-2026-93952 для ветки 6.1 всё ещё не было выпущено — фиксы были доступны только для веток 5.2 и 6.4. Бюллетень не уточняет, устраняет ли версия 6.1.3.10 также и сентябрьскую уязвимость.
Индикаторы компрометации
По данным Arista, атаки проводились с двух IP-адресов:
- 74.82.197[.]86
- 38.54.50[.]151
Arista рекомендует заблокировать эти адреса и проверить журналы на предмет обращений с них. Дополнительно следует проанализировать журналы веб-доступа VCO на наличие запросов с необычными компонентами пути, закодированными символами, обращениями к локальным или внутренним сервисам, а также аномально высокой частотой запросов.
Бюллетень не раскрывает, когда начались атаки, какие организации были затронуты и какие действия атакующие выполняли после эксплуатации. Также не указано, позволяет ли данная уязвимость получить доступ к устройствам VeloCloud Edge — хотя для июльской и сентябрьской уязвимостей Arista предупреждала о такой возможности.
Рекомендации по защите
Если немедленное обновление невозможно, Arista рекомендует следующие временные меры:
- Ограничить доступ к веб-интерфейсу VCO доверенными административными сетями
- Отслеживать подключения к VCO с известных вредоносных IP-адресов
- Контролировать нетипичную исходящую сетевую активность с хоста VCO
- Рассмотреть блокировку исходящих портов, не требуемых для штатной работы
- Проверять наличие бэкдоров и веб-шеллов
- Проанализировать журналы административных действий на предмет неожиданных изменений
При подозрении на компрометацию Arista настоятельно рекомендует сохранить доказательства до начала любых восстановительных работ: журналы веб-доступа VCO, журналы серверного приложения, системные и базы данных журналы, а также временные метки файловой системы.
Три критические уязвимости нулевого дня в VeloCloud Orchestrator за три месяца — все с подтверждённой активной эксплуатацией — формируют устойчивую картину целенаправленного давления на SD-WAN-инфраструктуру. Организациям с локальными развёртываниями VCO следует рассматривать обновление до исправленных версий (5.2.3.18, 6.1.3.10, 6.4.2.12) как задачу наивысшего приоритета и параллельно провести ретроспективный анализ журналов на предмет признаков компрометации по указанным IOC.
