Arista VeloCloud Orchestrator: un’iniezione SQL sfruttata trasforma un account in sola lettura in operatore

Arista ha corretto CVE-2026-114625, un’iniezione SQL in VeloCloud Orchestrator installato on-premise che consente a un utente con il ruolo più basso di ottenere i privilegi di operatore sulla piattaforma di gestione SD-WAN. Il produttore conferma lo sfruttamento attivo e la CISA ha dato alle agenzie USA tempo fino al 26 ottobre.

Cosa è successo

Il 22 ottobre 2026 Arista ha pubblicato il bollettino di sicurezza 0199 su CVE-2026-114625, un’iniezione SQL in VeloCloud Orchestrator (VCO), la console che gestisce i dispositivi SD-WAN VeloCloud. Il produttore le attribuisce 9,9 in CVSS 3.1 (9,4 in CVSS 4.0), dichiara di aver individuato il problema in autonomia e conferma che è attivamente sfruttato. La CISA l’ha inserita il 23 ottobre nel catalogo delle vulnerabilità sfruttate, con scadenza al 26 ottobre per le agenzie federali e l’obbligo di un’analisi forense.

Chi è coinvolto e come entrano gli attaccanti

Sono vulnerabili solo gli orchestratori on-premise: VCO 5.2.x prima della 5.2.3.18, 6.1.x prima della 6.1.3.10 e 6.4.x prima della 6.4.2.12. Le istanze ospitate e dedicate sono già state corrette da Arista; switch EOS, CloudVision e i dispositivi edge non sono coinvolti. Qualsiasi utente autenticato, anche con il ruolo Enterprise Read Only, può ottenere i diritti di operatore, spacciarsi per un superutente interno e raggiungere funzioni che non avrebbero mai dovuto essere accessibili da remoto, con possibili conseguenze sul server VCO e sui dati che gestisce. Poiché l’orchestratore distribuisce la configurazione a tutte le sedi, la sua compromissione colpisce l’intera rete.

Cosa fare ora

1. Verificate la versione di ogni orchestratore on-premise dalla sua interfaccia web e confrontatela con l’elenco sopra.
2. Aggiornate a 5.2.3.18, 6.1.3.10 o 6.4.2.12 o successive, a seconda del ramo.
3. Limitate l’accesso all’interfaccia web del VCO alle sole reti di amministrazione fidate fino all’aggiornamento.
4. Esaminate i log di accesso web alla ricerca dei due indirizzi pubblicati da Arista, 74.82.197[.]86 e 38.54.50[.]151, e di percorsi insoliti, caratteri codificati, riferimenti a servizi locali o raffiche di richieste.
5. Cercate forme di persistenza: webshell, backdoor, connessioni in uscita inattese dall’orchestratore e azioni recenti degli amministratori; rivedete gli account ed eliminate gli accessi in sola lettura non più necessari.

Il nostro parere

Un account in sola lettura viene spesso concesso con leggerezza a un fornitore o a un revisore perché lo si ritiene innocuo; questa falla dimostra che su una console di gestione ogni account è un possibile punto d’ingresso. Gli orchestratori di rete meritano lo stesso trattamento dei firewall: rete di amministrazione isolata, autenticazione a più fattori, revisione periodica degli account e patch rapide.

Fonti

• Arista — Security Advisory 0199: VeloCloud Orchestrator
• CISA — Known Exploited Vulnerabilities Catalog: CVE-2026-114625
• NIST NVD — CVE-2026-114625 Detail

Come scegliamo, verifichiamo e scriviamo le nostre analisi →