Arista stelt patches uit voor kritieke zero-day in VeloCloud Orchestrator

Arista Networks heeft beveiligingsupdates vrijgegeven om een actief uitgebuiteerde zero-day kwetsbaarheid in VeloCloud Orchestrator (VCO) op-premise installaties te repareren. De kwetsbaarheid, getagd als CVE-2026-114625, betreft een kritieke fout in de webgebaseerde beheerportal van VCO die privilege escalation via low-complexity SQL injection mogelijk maakt. Exploit kan alleen plaatsvinden met basisrechten, toegang tot de VCO webinterface en een geldige geauthenticeerde sessie.

De exploit vereist geen gebruikersinteractie en kan leiden tot volledige controle over de orchestrator en haar data. Arista heeft reeds patches uitgebracht voor hosted VCO versies 5.2.3.18 of hoger, 6.1.3.10 of hoger en 6.4.2.12 of hoger. Administrateurs worden aangeraden de VCO webinterface alleen toegankelijk te maken voor beheernetten en verdachte IP-adressen zoals 74.82.197.86 en 38.54.50.151 te blokkeren.