Arista corrige vulnerabilidade de dia zero no VeloCloud Orchestrator explorada em ataques

group of people having a meeting — Mario Gogh / Unsplash

A Arista Networks lançou atualizações de segurança para corrigir uma vulnerabilidade de dia zero que está sendo explorada ativamente e afeta as implantações locais do VeloCloud Orchestrator, conhecido como VCO.

O VCO funciona como um portal de gerenciamento baseado na web. Ele é utilizado por administradores para configurar, monitorar e gerenciar redes de longa distância definidas por software, as VeloCloud SD-WANs, além de dispositivos de borda associados.

A falha, identificada como CVE-2026-114625, é classificada com severidade crítica. Ela permite que invasores com privilégios básicos, acesso à interface web do VCO e uma sessão autenticada válida consigam elevar seus privilégios. Isso ocorre por meio de ataques de injeção de SQL de baixa complexidade que não exigem a interação do usuário.

A Arista afirmou que o problema de segurança no VCO local pode permitir que um invasor remoto acesse funcionalidades internas privilegiadas e impacte o hospedeiro do VCO. A exploração bem-sucedida pode comprometer a confidencialidade, a integridade e a disponibilidade do orquestrador e dos dados por ele gerenciados. Em um sistema afetado, qualquer usuário autenticado pode obter privilégios de operador e se passar por um usuário operador superusuário local, acessando funções destinadas apenas ao uso interno e que não deveriam ser acessíveis remotamente.

A empresa informou que já corrigiu as implantações hospedadas do VCO que executam a versão 5.2.3.18 ou posterior, 6.1.3.10 ou posterior e 6.4.2.12 ou posterior.

Até que as correções sejam aplicadas, a Arista aconselhou os administradores a monitorar conexões de endereços de IP maliciosos conhecidos, restringir o acesso à interface web do VCO a redes administrativas e revisar atividades recentes de administradores em busca de alterações incomuns. Também é recomendado revisar os logs de acesso web do VCO para atividades suspeitas, como solicitações com componentes de caminho incomuns, caracteres codificados, referências a serviços locais ou internos e altas taxas de requisição.

A empresa alertou as equipes de segurança para bloquear os endereços de IP 74[.]82.197.86 e 38[.]54.50.151, que foram observados durante os ataques em andamento. Caso haja suspeita de comprometimento, os operadores devem preservar logs de acesso web, logs de aplicação de backend, logs de sistema, logs de banco de dados e carimbos de data e hora do sistema de arquivos antes da remediação, se for operacionalmente viável. Clientes foram orientados a contatar o Centro de Assistência Técnica da Arista Networks para ajuda adicional.

Este ano, a Arista corrigiu outras três falhas de dia zero exploradas ativamente, sendo a CVE-2026-7473 em maio, a CVE-2026-16812 em julho e a CVE-2026-93952 em setembro, as quais afetavam o Extensible Operating System e implantações locais do VeloCloud Orchestrator.