شرکت Arista Networks به‌روزرسانی‌های امنیتی جدیدی را برای رفع یک آسیب‌پذیری بحرانی از نوع زیرو دِی (Zero-Day) منتشر کرد که در نسخه‌های On-Prem سیستم VeloCloud Orchestrator (VCO) فعال بود و در حملات واقعی مورد بهره‌برداری قرار گرفته است.
سیستم VCO یک پورتال مدیریتی مبتنی بر وب است که به مدیران شبکه اجازه می‌دهد شبکه‌های SD-WAN (شبکه‌های گسترده نرم‌افزار-محور) و دستگاه‌های Edge مرتبط با آن‌ها را پیکربندی، نظارت و مدیریت کنند.
جزئیات فنی آسیب‌پذیری
این نقص امنیتی که با شناسه CVE-2026-114625 ردیابی می‌شود، به مهاجمانی که دارای دسترسی‌های پایه به رابط وب VCO و یک نشست (Session) احراز هویت شده معتبر هستند، اجازه می‌دهد تا از طریق حملات SQL Injection با پیچیدگی پایین، سطح دسترسی خود را ارتقا دهند. این حمله نیازی به تعامل کاربر (User Interaction) ندارد.
شرکت Arista در این باره اعلام کرد: «در نسخه‌های On-Prem سیستم VeloCloud Orchestrator، مشکلی امنیتی وجود دارد که به یک مهاجم از راه دور اجازه می‌دهد به قابلیت‌های داخلی دارای سطح دسترسی بالا دسترسی پیدا کرده و میزبان VCO را تحت تأثیر قرار دهد. بهره‌برداری موفق از این نقص می‌تواند محرمانگی، یکپارچگی و در دسترس بودن (CIA) ارکستراتور و داده‌های مدیریت شده توسط آن را به خطر اندازد.»
در یک سیستم آسیب‌پذیر، هر کاربر احراز هویت شده می‌تواند امتیازات اپراتور را به دست آورده و خود را به عنوان یک کاربر superuser operator محلی معرفی کند. این دسترسی شامل قابلیت‌هایی است که صرفاً برای استفاده داخلی در نظر گرفته شده و نباید از راه دور قابل دسترسی باشند.
راهکارهای اصلاحی و پیشگیرانه
شرکت Arista اعلام کرده است که نسخه‌های میزبانی شده (Hosted) VCO در ورژن‌های 5.2.3.18، 6.1.3.10 و 6.4.2.12 یا بالاتر پیش از این به‌روزرسانی شده‌اند. برای سایر کاربران، توصیه‌های زیر ارائه شده است:
- اعمال سریع وصله‌ها: به‌روزرسانی فوری سیستم‌های On-Prem به آخرین نسخه منتشر شده.
- محدود کردن دسترسی: محدود کردن دسترسی به رابط وب VCO تنها به شبکه‌های مدیریتی (Administrative Networks).
- پایش ترافیک: نظارت بر اتصالات دریافتی از آدرس‌های IP مشکوک و بررسی لاگ‌های دسترسی وب برای شناسایی درخواست‌هایی با مسیرهای URL غیرعادی یا کاراکترهای کدگذاری شده.
- مسدودسازی IoCها: تیم‌های امنیتی توصیه شده‌اند آدرس‌های IP زیر را که در حملات جاری مشاهده شده‌اند، مسدود کنند:
74[.]82.197.86 و 38[.]54.50.151
در صورت مشکوک شدن به نفوذ، اپراتورها باید پیش از هرگونه اقدام اصلاحی، لاگ‌های دسترسی وب، لاگ‌های اپلیکیشن Backend، لاگ‌های سیستم، لاگ‌های دیتابیس و Timestampهای مربوط به فایل‌سیستم را برای تحلیل‌های فارنزیک حفظ کنند.
