Aristaは2026年10月22日、SD-WANの管理基盤VeloCloud Orchestrator (VCO)で、実際の攻撃に悪用されている脆弱性CVE-2026-114625を公表しました。攻撃者は、最も権限の低い「Enterprise Read Only」ロールでログインできれば、「superuser operator」の権限を取得できます。
オンプレミスのVCOが更新対象です。Aristaが運用するHosted版とDedicated版にも影響していましたが、こちらは修正済みとしています。VeloCloud EdgeやGatewayは対象外です。
何が起きるのか
原因はSQLインジェクションです。攻撃にはVCOのWeb画面へアクセスできることと、有効なログインセッションが必要です。成功すると「superuser operator」になりすまし、通常は外部に公開しない内部機能へアクセスできるため、管理データやVCOホストに影響が及ぶ恐れがあります。
Aristaの評価はCVSS v3.1で9.9、v4.0で9.4です。
対象バージョンと修正版
| 系列 | 影響する版 | 修正版 |
|---|---|---|
| 5.2.x | 5.2.3.18未満 | 5.2.3.18以降 |
| 6.1.x | 6.1.3.10未満 | 6.1.3.10以降 |
| 6.4.x | 6.4.2.12未満 | 6.4.2.12以降 |
Aristaはサポート終了版を評価対象にしておらず、影響の有無を示していません。表にない系列を使っている場合は、Aristaのサポート窓口に更新先を確認してください。
修正版への更新と侵害調査
オンプレミスのVCOは、表の修正版へ更新してください。Aristaは設定変更だけでこの問題を回避する方法はないとし、更新までの補助策として、管理画面への接続を信頼できる管理ネットワークに制限するよう案内しています。
Aristaが攻撃元として挙げたIPは74.82.197.86と38.54.50.151です。Aristaはこれらのアドレスの遮断と、同アドレスからのアクセスがログにないかの確認を勧めています。不自然な内部サービス参照や大量アクセスも調べるよう案内しています。
侵害が疑われる場合、Aristaは修復前に、可能な範囲でWeb・アプリ・システム・データベースのログとファイルのタイムスタンプを保存するよう案内しています。想定外の外向き通信、バックドアやWebシェル、管理操作の変更も調べるよう推奨しています。
コメント