شرکت Arista Networks وصله‌های امنیتی جدیدی را برای رفع یک نقص امنیتی از نوع زیرو دِی (Zero-Day) منتشر کرد که در حال حاضر به‌طور فعال مورد بهره‌برداری قرار گرفته و استقرار‌های On-Prem پلتفرم VeloCloud Orchestrator (VCO) را تحت تأثیر قرار داده است.
جزئیات فنی آسیب‌پذیری
این نقص امنیتی که با شناسه CVE-2026-93952 ردیابی می‌شود و دارای سطح شدت حداکثری (Maximum Severity) است، ناشی از ضعف در اعتبارسنجی ورودی‌ها (Improper Input Validation) است. این مشکل در محیط‌هایی رخ می‌دهد که احراز هویت مبتنی بر گواهینامه (Certificate-based Authentication) بین VeloCloud Edge و VCO پیکربندی شده باشد.
عاملان تهدید (Threat Actors) می‌توانند از این آسیب‌پذیری برای دسترسی به عملکردهای داخلی دارای سطح دسترسی بالا (Privileged) در میزبان VCO استفاده کنند. این حملات با پیچیدگی پایین (Low-complexity) اجرا شده و نیازی به داشتن دسترسی‌های قبلی در سیستم یا تعامل کاربر (User Interaction) ندارند.
شرایط بهره‌برداری و اثرات
طبق هشدار شرکت Arista، برای اجرای موفقیت‌آمیز این حمله، مهاجم باید به بخش عمومی گواهینامه احراز هویت VeloCloud Edge دسترسی داشته باشد و دسترسی شبکه‌ای به رابط وب (Web Interface) پلتفرم VCO داشته باشد. نکته قابل توجه این است که برای این نفوذ، نیازی به داشتن اعتبارنامه‌های (Credentials) اپراتور یا مستاجر (Tenant) نیست.
اقدامات اصلاحی و توصیه‌های امنیتی
شرکت Arista اعلام کرده است که نسخه‌های میزبانی شده (Hosted) شامل VCO 5.2.3.16 و VCO 6.4.2.8 یا جدیدتر را اصلاح کرده و در حال انتشار وصله‌ها برای نسخه‌های 6.1.3.7 و 7.0.0.2 و پایین‌تر است. همچنین سازمان CISA این آسیب‌پذیری را به فهرست Known Exploited Vulnerabilities اضافه کرده و دستور داده است که سازمان‌های دولتی تا تاریخ ۲۵ سپتامبر شبکه‌های خود را ایمن کنند.
به مدیران شبکه و تیم‌های SOC توصیه می‌شود تا زمان اعمال کامل وصله‌ها، اقدامات زیر را اجرا کنند:
- محدود کردن دسترسی به رابط وب VCO تنها به شبکه‌های مدیریتی.
- بررسی فعالیت‌های اخیر مدیران برای شناسایی تغییرات غیرعادی.
- مانیتورینگ اتصالات از IPهای مخرب شناخته شده.
- بررسی لاگ‌های دسترسی وب برای شناسایی کاراکترهای کدگذاری شده (Encoded) یا درخواست‌های غیرعادی به سرویس‌های داخلی.
- مسدود کردن IPهای
142[.]93.149.77و104[.]248.126.159. - بررسی لاگ‌های nginx برای یافتن هدر HTTP با نام
x-vc-opt.
در صورت مشکوک شدن به نفوذ، توصیه می‌شود پیش از هرگونه اقدام اصلاحی، تمامی لاگ‌های دسترسی وب، لاگ‌های اپلیکیشن Backend، لاگ‌های سیستم، دیتابیس و Timestampهای فایل‌سیستم برای تحلیل جرم‌شناسی دیجیتال (Forensics) حفظ شوند.
