Arista dicht kritiek lek in VeloCloud Orchestrator (VCO) On‑Prem: patch direct

Arista heeft een ernstig beveiligingslek gedicht in VeloCloud Orchestrator (VCO) On‑Prem. Het gaat om CVE-2026-114625, een SQL‑injectie met een CVSS-score van 9,9. Met alleen een geldig, laag‑geprivilegieerd account kan een aanvaller op afstand rechten verhogen, zich voordoen als ‘superuser operator’ en toegang krijgen tot interne beheertaken. Daarmee komen vertrouwelijkheid, integriteit en beschikbaarheid van zowel de orchestrator als de beheerde data in gevaar. Arista meldt dat het lek actief wordt misbruikt. Op 23 oktober 2026 is het bovendien opgenomen in CISA’s Known Exploited Vulnerabilities‑catalogus, wat de urgentie onderstreept. (arista.com)

Wat heb je nodig om te misbruiken?

• Netwerktoegang tot de VCO‑webinterface.
• Een geldige gebruikerssessie; de laagste standaardrol Enterprise Read Only is al voldoende.
• Geen speciale configuratie: de kwetsbare functionaliteit staat standaard bloot en is niet via een instelling af te schermen. (arista.com)

Wie is getroffen en welke versies fixen het?

• VCO 5.2.x vóór 5.2.3.18
• VCO 6.1.x vóór 6.1.3.10
• VCO 6.4.x vóór 6.4.2.12
  Gehoste VCO‑omgevingen, inclusief Dedicated, zijn al door Arista gepatcht. (arista.com)

Wat zijn signalen en bekende IP’s?
Arista adviseert VCO‑toegangslogs te controleren op ongebruikelijke verzoeken (vreemde pad‑componenten, encoded karakters, verwijzingen naar interne diensten) en meldt concrete bron‑IP’s die bij aanvallen zijn gezien: 74.82.197.86 en 38.54.50.151. (arista.com)

Waarom dit ertoe doet
VCO is het centrale brein van veel SD‑WAN‑omgevingen. Compromittering van de orchestrator kan doorwerken in alle beheerde edges en policies. Doordat de aanval weinig complex is (geen gebruikersinteractie, lage drempel qua rechten) en al in het wild wordt ingezet, gaf CISA federale organisaties in de VS slechts tot 26 oktober 2026 om te patchen. (nvd.nist.gov)

Aanpak: wat je nu moet doen

• Patch onmiddellijk naar 5.2.3.18+, 6.1.3.10+ of 6.4.2.12+, afhankelijk van je release‑lijn. (arista.com)
• Beperk toegang tot de VCO‑portal tot vertrouwde beheernetwerken en zet MFA af te dwingen voor beheeraccounts. (arista.com)
• Controleer logs op de genoemde IP’s en andere afwijkingen; bewaar relevante logbestanden, ook van systeem/database, vóór herstelmaatregelen. (arista.com)
• Review recente beheeracties, roteer inloggegevens en active sessions, en scan de host op webshells of achterdeuren. (arista.com)
• Volg het advies van NCSC‑NL: voer updates met spoed uit en onderzoek systemen op mogelijke compromittering. (advisories.ncsc.nl)

Context en tijdlijn

• 22 oktober 2026: Arista publiceert Security Advisory 0199 met details, fixed builds en IOC’s. (arista.com)
• 23 oktober 2026: CISA voegt CVE‑2026‑114625 toe aan de KEV‑catalogus (patch‑deadline voor federale instanties: 26 oktober 2026). (nvd.nist.gov)

Kort samengevat: als je VCO On‑Prem draait, update dan vandaag nog naar een vaste release en ga uit van mogelijke blootstelling. Beperk toegang, controleer je logs op sporen van misbruik en neem waar nodig incidentresponsmaatregelen. (arista.com)

---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ----
Opzoek naar de laatste updates uit onze securitylog?
Inhoud mede mogelijk gemaakt door OpenAI.