Критическая уязвимость в Arista VeloCloud Orchestrator (CVE-2026-114625)
В on-prem версиях VeloCloud Orchestrator (VCO) от Arista Networks обнаружена критическая уязвимость с оценкой CVSS 9.9. Любой аутентифицированный пользователь может получить привилегии оператора и выдать себя за локального «superuser operator», получив доступ к внутренней функциональности. Проблема затрагивает конфиденциальность, целостность и доступность оркестратора и управляемых им данных.
Подробности
Уязвимость затрагивает VeloCloud Orchestrator в варианте on-prem. Согласно описанию, любой аутентифицированный пользователь может повысить свои привилегии до уровня оператора и выдать себя за локального пользователя «superuser operator». В результате атакующий получает доступ к функциональности, предназначенной исключительно для внутреннего использования и не рассчитанной на удалённый доступ. Успешная эксплуатация позволяет удалённому атакующему обратиться к привилегированной внутренней функциональности и повлиять на хост VCO. Это может привести к компрометации конфиденциальности, целостности и доступности как самого оркестратора, так и данных, которыми он управляет. Учитывая роль VCO в инфраструктуре SD-WAN, последствия могут быть существенными для всей управляемой сети. Отдельно отмечено, что облачные версии VCO, включая Dedicated, также были подвержены проблеме, однако для них исправления уже выпущены. Для on-prem инсталляций информация о патче в предоставленной записи не приводится.Что делать
Владельцам on-prem развёртываний VeloCloud Orchestrator рекомендуется в первую очередь обратиться к официальным бюллетеням Arista Networks и проверить наличие обновления, устраняющего CVE-2026-114625, а затем установить его в приоритетном порядке с учётом критичности 9.9. До установки патча целесообразно ограничить доступ к интерфейсу управления VCO: закрыть его от внешних сетей, оставив только доверенные сегменты и административные подсети. Следует проверить и при необходимости ужесточить политику аутентификации и разграничения ролей, а также провести ревизию учётных записей, имеющих доступ к оркестратору, отключив неиспользуемые. Дополнительно стоит усилить мониторинг событий, связанных с изменением привилегий и действиями от имени операторских учётных записей, чтобы своевременно выявлять попытки эксплуатации. При наличии признаков компрометации необходимо рассмотреть ротацию учётных данных и проверку конфигураций, управляемых через VCO.Итог
CVE-2026-114625 — критическая уязвимость повышения привилегий в on-prem VeloCloud Orchestrator, позволяющая аутентифицированному пользователю действовать как «superuser operator» и затрагивающая внутренние функции, не предназначенные для удалённого доступа. С учётом оценки CVSS 9.9 организациям, использующим VCO, следует оперативно установить обновления и ограничить сетевой доступ к интерфейсу управления.Источник: CVE Project (cvelistV5)