Злоумышленники эксплуатируют третью уязвимость нулевого дня в Arista VCO за четыре месяца
Исследователи зафиксировали активную эксплуатацию критической уязвимости SQL-инъекции в Arista VeloCloud Orchestrator (VCO) — это уже третья атака на zero-day в продукте за последние четыре месяца. Уязвимость позволяет злоумышленникам получить доступ к привилегированному внутреннему функционалу и повысить права до уровня оператора. Проблема затрагивает организации, использующие VCO для управления SD-WAN-инфраструктурой.
Подробности
Уязвимость относится к классу SQL-инъекций и имеет критический уровень опасности. По данным исследователей, эксплуатация缺陷 позволяет атакующим получить доступ к привилегированному внутреннему функционалу системы и повысить свои права до уровня оператора (operator privileges). Это открывает путь к управлению конфигурацией оркестратора и потенциально — к компрометации всей управляемой SD-WAN-инфраструктуры. Точные версии затронутого продукта, номер CVE и механизм эксплуатации в исходном сообщении не раскрываются. Отмечается лишь, что это уже третий случай эксплуатации zero-day в Arista VCO за четыре месяца, что указывает на целенаправленный интерес злоумышленников к платформе. Отсутствие публичных деталей усложняет оценку масштаба угрозы, однако сам факт активной эксплуатации требует от организаций повышенной бдительности.Что делать
В первую очередь администраторам Arista VCO следует проверить наличие обновлений безопасности от вендора и оперативно установить все доступные патчи. Рекомендуется ограничить сетевой доступ к интерфейсам управления оркестратором, разместив их за VPN или в изолированном сегменте сети, а также включить многофакторную аутентификацию (MFA) для всех учётных записей операторов. Необходимо провести аудит журналов доступа к VCO на предмет подозрительной активности, особенно запросов, характерных для SQL-инъекций, и несанкционированного повышения привилегий. Стоит усилить мониторинг API и внутренних сервисов оркестратора, а также проверить целостность конфигураций. Организациям, не имеющим возможности оперативно обновиться, рекомендуется временно ограничить функциональность доступа к привилегированным операциям. Ситуация демонстрирует, что даже критически важные компоненты сетевой инфраструктуры остаются привлекательной целью для атакующих, а скорость реагирования на уязвимости напрямую влияет на устойчивость всей сети.Источник: SecurityWeek