Злоумышленники используют новую уязвимость в локальных версиях VeloCloud Orchestrator (VCO) — сервере, управляющем устройствами Edge в SD-WAN от VeloCloud, сообщила компания Arista 22 сентября. Уязвимость, обозначенная как CVE-2026-93952, может позволить удаленному злоумышленнику без доступа к учетным данным получить доступ к внутренним функциям и повлиять на хост VCO. Уязвимы только те оркестраторы, которые настроены на аутентификацию своих Edge-устройств с помощью сертификатов. По состоянию на 22 сентября выпущены исправления для версий 5.2 и 6.4, но пока не для 6.1 и 7.0. Arista уже исправила размещенные и выделенные версии VCO. Затронутые версии включают те, которые исправляли другую уязвимость VCO, о которой Arista сообщала как об “использованной в июле”. Arista присвоила уязвимости оценку CVSS 3.1 — 10.0. Успешная атака может привести к компрометации оркестратора и управляемых им данных. Компрометация VCO также может предоставить злоумышленникам доступ к управляемым им Edge-устройствам. Arista заявила, что уязвимость “была обнаружена извне, и известно, что она активно используется”. Компания не уточнила, когда начались атаки и насколько они распространены. The Hacker News связался с Arista для получения комментариев. VeloCloud Edge-устройства могут аутентифицироваться в оркестраторе в одном из трех режимов. В режиме “Certificate Deactivated” Edge использует общий ключ (PSK). В режимах “Certificate Acquire” и “Certificate Required” он использует сертификат, выданный оркестратором. Arista заявила, что оркестратор уязвим, если “настроена аутентификация на основе сертификатов от VeloCloud Edge к VeloCloud Orchestrator (VCO)”. Компания не уточнила, какой из этих режимов соответствует этому условию. Злоумышленнику также требуется сетевой доступ к веб-интерфейсу VCO и общедоступной части сертификата аутентификации Edge-устройства. Июльская уязвимость не зависела от настроек: VCO был уязвим к ней по умолчанию, и никакая конфигурация не могла это предотвратить. По состоянию на 22 сентября, вот затронутые версии в каждом семействе, версии, которые их исправляют, и версии, которые исправляли июльскую уязвимость: Arista заявила, что исправления для затронутых, но все еще поддерживаемых семейств, находятся в разработке и будут добавлены в ее консультативный документ, когда будут готовы. Клиенты, использующие неподдерживаемые версии, могут связаться с Техническим центром поддержки Arista (TAC) для получения информации о вариантах обновления. До установки исправленной версии Arista рекомендует предпринять следующие шаги: Arista заявила, что ни один отдельный индикатор не доказывает компрометацию VCO через эту уязвимость. Проверяйте журналы доступа к веб-интерфейсу VCO на наличие запросов с необычными путями, похожими на URL, закодированными символами, ссылками на локальные или внутренние службы или высокой частотой запросов. Конкретные индикаторы, на которые следует обратить внимание: Если вы обнаружите что-либо из этого, сохраните состояние VCO и свяжитесь с TAC или вашей командой по работе с клиентами Arista. Если вы подозреваете компрометацию, сохраните журналы доступа к веб-интерфейсу VCO, журналы серверных приложений, системные журналы, журналы баз данных и временные метки файловой системы перед внесением каких-либо исправлений, где это практически возможно. Arista также рекомендует провести реагирование на инцидент после обновления. Это может включать смену учетных данных, проверку действий администратора, проверку состояния управляемых Edge-устройств и восстановление или замену оркестратора из доверенных источников.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Swati Khandelwal
