Arista предупреждает о критической zero-day SQL-инъекции в VeloCloud, уже используемой в атаках

Arista 22 октября выпустила предупреждение об уязвимости zero-day в VeloCloud Orchestrator (VCO) — центральной системе управления сетями VeloCloud SD-WAN. По данным компании, недостаток уже эксплуатируется в атаках, что делает ситуацию особенно опасной для организаций, использующих решения VeloCloud для построения распределённых сетей.

Подробности

Уязвимость представляет собой SQL-инъекцию, позволяющую любому, кто может авторизоваться в оркестраторе, повысить свои привилегии до уровня оператора. Ключевая особенность проблемы в том, что для эксплуатации достаточно даже учётной записи заказчика с правами только на чтение (read-only) — то есть атака возможна без административного доступа к системе. Получение привилегий оператора означает высший уровень контроля над VCO, что открывает злоумышленнику широкие возможности по управлению инфраструктурой SD-WAN. На момент публикации предупреждения Arista не раскрыла идентификатор CVE и не привела дополнительных технических деталей об уязвимости. Компания также не уточнила, какие именно версии VeloCloud Orchestrator подвержены проблеме и существуют ли патчи или временные меры защиты. Отсутствие этой информации усложняет оценку масштаба риска, однако сам факт активной эксплуатации zero-day требует от администраторов незамедлительной реакции.

Что делать

Организациям, использующим VeloCloud Orchestrator, рекомендуется в первую очередь ознакомиться с официальным advisory Arista от 22 октября и отслеживать его обновления — по мере раскрытия деталей там должны появиться сведения об уязвимых версиях, исправлениях и возможных обходных мерах. До выпуска патча следует максимально ограничить доступ к оркестратору: проверить список учётных записей, отозвать неиспользуемые и избыточные аккаунты, а также пересмотреть права пользователей, особенно с доступом «только чтение», поскольку именно такие учётные записи достаточно для эксплуатации уязвимости. Целесообразно усилить мониторинг аутентификации и действий в VCO на предмет подозрительной активности, а также ограничить сетевую доступность интерфейса оркестратора доверенными сегментами и адресами. При наличии возможности стоит оперативно применить обновления, как только Arista их выпустит. Итог: критическая zero-day SQL-инъекция в VeloCloud Orchestrator уже используется в атаках и позволяет повысить привилегии даже с read-only аккаунта, поэтому администраторам VCO необходимо срочно ограничить доступ к системе и следить за обновлениями advisory Arista.

Источник: The Hacker News