Firma Arista wydała ostrzeżenie dotyczące krytycznej podatności SQL Injection (CVE-2026-114625) w systemie VeloCloud Orchestrator (VCO). Luka ta jest aktywnie wykorzystywana w atakach i posiada bardzo wysoki wskaźnik powagi CVSS wynoszący 9.9. Problem dotyczy centralnego systemu zarządzania sieciami SD-WAN.
Aby przeprowadzić atak, napastnik musi posiadać dostęp do interfejsu webowego orkiestratora oraz jakiekolwiek ważne konto użytkownika, nawet o najniższych uprawnieniach typu Enterprise Read Only. Wykorzystanie luki pozwala na eskalację uprawnień do poziomu lokalnego superużytkownika, co daje pełną kontrolę nad systemem, danymi oraz samym hostem orkiestratora.
Naprawa jest dostępna dla instalacji on-premises w konkretnych wersjach: 5.2.3.18, 6.1.3.10 oraz 6.4.2.12. W przypadku wersji hostowanych i dedykowanych poprawki zostały już wdrożone. Arista zaleca ograniczenie dostępu do interfejsu webowego VCO wyłącznie do zaufanych sieci administracyjnych oraz monitorowanie nietypowej aktywności sieciowej i logów.
Sytuacja jest poważna, ponieważ jest to trzecia wykryta luka w VCO od lipca, przy czym ta obecna jako pierwsza wymaga uwierzytelnienia. Skuteczne przejęcie orkiestratora może prowadzić do dalszej kompromitacji urządzeń VeloCloud Edge w sieciach klientów.
