Arista VeloCloud Orchestrator: SQL-Injection mit Rechteerweiterung

Zusammenfassung

VeloCloud Orchestrator (VCO) On-Prem enthält eine SQL-Injection-Schwachstelle (CWE-89). Ein authentifizierter Benutzer mit einem gültigen Portal-Login, auch mit der niedrigsten integrierten Rolle (Enterprise Read Only), kann Operator-Rechte erlangen und das interne Konto "superuser operator" nachahmen. So erhält er Zugriff auf Funktionen, die nur für den internen Gebrauch vorgesehen sind, was den Orchestrator-Host und die darin verwalteten Daten gefährden kann. Gehostete und dedizierte VCO-Instanzen sind bereits gepatcht, und Arista sowie CISA melden aktive Ausnutzung.

Betroffen

• VCO On-Prem 5.2.0 bis vor 5.2.3.18
• VCO On-Prem 6.1.0 bis vor 6.1.3.10
• VCO On-Prem 6.4.0 bis vor 6.4.2.12
• Gehostetes und dediziertes VCO: durch den Hersteller bereits gepatcht
• Gemäss Arista nicht betroffen: VeloCloud Gateway und VeloCloud Edge

Behoben in

• VCO 5.2.3.18 oder neuer (5.2-Linie)
• VCO 6.1.3.10 oder neuer (6.1-Linie)
• VCO 6.4.2.12 oder neuer (6.4-Linie)
• Frühere Patches für andere VCO-Schwachstellen beheben diese CVE nicht.

Umgehung

Keine Konfigurationsänderung verhindert die Exposition, da VCO standardmässig exponiert ist. Bis die korrigierte Version eingesetzt ist, sollten die Defense-in-Depth-Massnahmen aus dem Arista-Advisory umgesetzt werden:

• Zugriff auf die VCO-Weboberfläche auf vertrauenswürdige Administrationsnetze beschränken.
• VCO auf Zugriffe von bekannten schädlichen Quell-IPs überwachen.
• Auf unerwartete ausgehende Netzwerkaktivität des VCO-Hosts achten.
• Ausgehende Ports blockieren, die nicht benötigt werden.
• Auf Backdoor-Daemons und Webshells überwachen.
• Kürzliche Administratoraktivitäten auf unerwartete Änderungen prüfen.

Ausnutzung

• Arista meldet, dass die Schwachstelle aktiv ausgenutzt wird.
• CISA hat CVE-2026-114625 am 23.10.2026 in den KEV-Katalog aufgenommen, mit einer Frist für Bundesbehörden bis 26.10.2026.
• CISA SSVC: Ausnutzung aktiv, nicht automatisierbar, totale technische Auswirkung.
• Ein Drittanbieter-Index (Stand 26.10.2026) fand keinen öffentlichen Exploit-Code in Metasploit oder Exploit-DB. Dies ist kein bestätigtes Fehlen.
• Unbekannt: Beginn der Ausnutzung, betroffene Orchestratoren und Aktivitäten der Angreifer danach.

Unsere Empfehlung

• Falls Sie VCO On-Prem betreiben, behandeln Sie dies als dringend und aktualisieren Sie jetzt auf die korrigierte Version Ihrer Linie.
• Prüfen Sie die laufende Version vor und nach dem Update anhand des Arista-Advisory 0199.
• Beschränken und prüfen Sie den Zugriff auf die VCO-Weboberfläche, auch für Konten mit Lesezugriff, und entfernen Sie ungenutzte Konten.
• Prüfen Sie VCO- und Host-Logs auf unerwartete Administratoraktionen, neue Konten und ausgehende Verbindungen. Falls VCO exponiert war, prüfen Sie auf Anzeichen einer Kompromittierung.
• Bei gehostetem oder dediziertem VCO ist Ihrerseits keine Massnahme nötig.
• Falls Sie kein VCO betreiben, ist keine Massnahme nötig.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.

• Proof of Concept auf GitHub (1 Repositories) iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).
  definitiveref/CVE-2026-114625-Proof-Of-Concept

Quellen der Recherche

• Arista Security Advisory 0199 www.arista.com
• CISA Known Exploited Vulnerabilities Catalog entry www.cisa.gov
• CISA KEV alert (23 Oct 2026) www.cisa.gov
• The Hacker News: CISA flags two actively exploited flaws thehackernews.com
• Security Affairs: CISA adds Arista VeloCloud Orchestrator flaw to KEV securityaffairs.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 13:26.