شرکت Arista آسیب‌پذیری بحرانی CVE-2026-114625 را در نسخه‌های On-premises پلتفرم VeloCloud Orchestrator (VCO) فاش کرده است. این نقص امنیتی از نوع SQL Injection است و در حال حاضر در محیط‌های واقعی (in the wild) مورد سوءاستفاده قرار گرفته است. این آسیب‌پذیری به هر کاربر احراز هویت شده در پورتال، حتی با کمترین سطح دسترسی (Enterprise Read Only)، اجازه می‌دهد تا امتیازات مدیریتی Superuser را کسب کند.
جزئیات فنی و تأثیرگذاری
این آسیب‌پذیری در پلتفرم مدیریت محیط‌های VeloCloud SD-WAN رخ می‌دهد. طبق امتیازدهی Arista، این نقص دارای امتیاز CVSS v3.1: 9.9 و CVSS v4.0: 9.4 است. یک حمله موفق می‌تواند نشست (session) یک کاربر عادی را به سطح Superuser Operator ارتقا داده و قابلیت‌هایی را که تنها برای استفاده داخلی در نظر گرفته شده‌اند، در معرض خطر قرار دهد. این موضوع می‌تواند بر محرمانگی (confidentiality)، یکپارچگی (integrity) و در دسترس بودن (availability) داده‌ها و خودِ Orchestrator تأثیر بگذارد.
نسخه‌های آسیب‌پذیر
این نقص بر نسخه‌های On-premises در شاخه‌های زیر تأثیر می‌گذارد:
- شاخه 5.2: نسخه‌های قدیمی‌تر از 5.2.3.18
- شاخه 6.1: نسخه‌های قدیمی‌تر از 6.1.3.10
- شاخه 6.4: نسخه‌های قدیمی‌تر از 6.4.2.12
لازم به ذکر است که سرویس‌های Arista-hosted و Dedicated نیز تحت تأثیر قرار گرفته بودند، اما شرکت اعلام کرده که این محیط‌ها قبلاً وصله (patch) شده‌اند. همچنین، سرویس‌های VeloCloud Gateway و VeloCloud Edge تحت تأثیر این CVE نیستند.
وضعیت اکسپلویت و شناسایی مهاجمان
Arista تأیید کرده است که شواهدی از اکسپلویت فعال این آسیب‌پذیری را مشاهده کرده است. اگرچه هویت مهاجمان هنوز مشخص نیست، اما آدرس‌های IP زیر به عنوان سرنخ‌های احتمالی شناسایی شده‌اند:
- 74.82.197.86
- 38.54.50.151
اقدامات دفاعی و پیشنهادات
تیم‌های امنیتی و مدیران SOC باید اقدامات زیر را به صورت فوری انجام دهند:
- به‌روزرسانی فوری: ارتقای سیستم به نسخه‌های اصلاح‌شده (5.2.3.18، 6.1.3.10 یا 6.4.2.12 یا بالاتر).
- محدودسازی دسترسی: محدود کردن دسترسی به رابط کاربری وب VCO تنها به شبکه‌های مدیریتی مورد اعتماد (trusted networks).
- بازرسی حساب‌ها: حساب‌های با دسترسی پایین (مانند Enterprise Read Only) و حساب‌های قدیمی (stale accounts) را بازرسی و در صورت لزوم غیرفعال کنید.
- بررسی لاگ‌ها: جستجوی درخواست‌های غیرعادی در URLها، کاراکترهای کدگذاری شده (encoded characters) و تغییرات غیرمنتظره در سطح مدیر (administrator).
