Arista ha confirmado mediante un aviso de seguridad que actores maliciosos están explotando una vulnerabilidad zero-day de inyección SQL en VeloCloud Orchestrator (VCO), el componente central para la gestión de redes SD-WAN de VeloCloud. El fallo permite que cualquier usuario autenticado, incluso aquellos con una cuenta de cliente de solo lectura, pueda escalar privilegios hasta el nivel de operador, que otorga control total sobre el sistema.
El aviso fue publicado el 22 de octubre. Para los orquestadores instalados en las instalaciones (on-premises), la corrección está disponible en las versiones VCO 5.2.3.18, 6.1.3.10 y 6.4.2.12. Los orquestadores alojados y dedicados ya han sido parcheados.
Gravedad y contexto de la vulnerabilidad
La falla está catalogada como CVE-2026-114625 y tiene una puntuación de 9,9 en la escala CVSS. Los orquestadores que ejecutan las versiones que corrigieron los fallos explotados en julio y septiembre siguen siendo vulnerables, ya que esas versiones son anteriores a las nuevas correcciones.
Arista adquirió la línea de productos SD-WAN de VeloCloud a Broadcom, un acuerdo anunciado en julio de 2025. Anteriormente, los productos se conocían como VMware SD-WAN by VeloCloud.
Para explotar el fallo, un atacante necesita acceso de red a la interfaz web del orquestador y un inicio de sesión válido. El rol mínimo requerido es Enterprise Read Only, el rol integrado más bajo para usuarios de cliente. VCO está expuesto de forma predeterminada y ninguna configuración de VCO impide esa exposición.
En VCO, los operadores crean las cuentas de clientes y socios, y cada socio puede gestionar un grupo de clientes. La vulnerabilidad permite a un atacante actuar como superusuario local, un rol con acceso completo. También podría permitirle afectar al propio host de VCO y exponer, modificar o interrumpir el orquestador y los datos que gestiona.
El aviso no especifica cuándo comenzaron los ataques, qué orquestadores se vieron afectados ni qué hicieron los atacantes tras explotar el fallo.
Esta es la tercera vulnerabilidad en VCO desde finales de julio que Arista reporta como explotada, y la primera de las tres que requiere iniciar sesión. Ni el fallo de julio (CVE-2026-16812) ni el de septiembre (CVE-2026-93952) necesitaban autenticación.
Versiones afectadas y corregidas
Cada rama de versiones afectada tiene su propia corrección, indicada junto a la versión que corrigió el fallo de septiembre en la misma rama. VeloCloud Gateway y VeloCloud Edge no se ven afectados. La rama 7.0 no aparece en la lista y Arista señala que cualquier versión que no figure en ella no es vulnerable.
Arista no ha comprobado las versiones que han alcanzado el fin de soporte. Los clientes que utilicen una rama no soportada pueden contactar con el Centro de Asistencia Técnica (TAC) de Arista para consultar opciones de actualización.
A fecha del 22 de octubre, el fallo de septiembre solo está corregido en las ramas 5.2 y 6.4. En la 6.1 afecta a las versiones hasta la 6.1.3.7 y no se indica ninguna versión corregida. Ninguno de los avisos aclara si la 6.1.3.10 también corrige el fallo de septiembre.
Medidas de mitigación si no se puede actualizar
Hasta que se instale la versión corregida, Arista recomienda aplicar estas medidas:
- Limitar el acceso a la interfaz web de VCO a redes administrativas de confianza.
- Vigilar en VCO las conexiones procedentes de direcciones IP maliciosas conocidas.
- Detectar actividad de red saliente inesperada desde el host de VCO.
- Considerar el bloqueo de los puertos salientes que no sean necesarios para el funcionamiento normal.
- Buscar daemons de puerta trasera y webshells.
- Revisar la actividad reciente de los administradores en busca de cambios no previstos.
Cómo comprobar si ha habido compromiso
Según Arista, se han observado dos direcciones IP llevando a cabo los ataques. Deben bloquearse y revisarse los registros en busca de cualquier rastro de ellas:
- IP: 74.82.197[.]86
- IP: 38.54.50[.]151
También conviene revisar los registros de acceso web de VCO en busca de solicitudes con componentes de ruta inusuales similares a URL, caracteres codificados, referencias a servicios locales o internos, o tasas de solicitudes elevadas.
Si se sospecha un compromiso, siempre que sea posible hay que guardar las pruebas antes de corregir nada. Esto incluye los registros de acceso web de VCO, de la aplicación de backend, del sistema y de la base de datos, junto con las marcas de tiempo relevantes del sistema de archivos.
En relación con los fallos de julio y septiembre, Arista advirtió de que un orquestador comprometido también podía dar a los atacantes acceso a los dispositivos VeloCloud Edge. Para esta vulnerabilidad, el aviso no indica si se aplica ese riesgo ni si la actualización elimina el acceso que un atacante ya haya obtenido.
Deja una respuesta