Arista VeloCloud Orchestrator: uma injeção SQL explorada transforma uma conta só de leitura em operador

A Arista corrigiu a CVE-2026-114625, uma injeção SQL no VeloCloud Orchestrator instalado localmente que permite a um utilizador com o papel mais baixo obter privilégios de operador sobre a plataforma de gestão SD-WAN. O fabricante confirma exploração ativa e a CISA deu às agências dos EUA até 26 de outubro.

O que aconteceu

Em 22 de outubro de 2026, a Arista publicou o aviso de segurança 0199 sobre a CVE-2026-114625, uma injeção SQL no VeloCloud Orchestrator (VCO), a consola que gere os equipamentos SD-WAN VeloCloud. O fabricante atribui-lhe 9,9 em CVSS 3.1 (9,4 em CVSS 4.0), afirma ter detetado o problema por si próprio e confirma que está a ser explorado ativamente. A CISA incluiu-a a 23 de outubro no catálogo de vulnerabilidades exploradas, com prazo até 26 de outubro para as agências federais e a obrigação de uma análise forense.

Quem é afetado e como os atacantes entram

Apenas os orquestradores instalados localmente são vulneráveis: VCO 5.2.x anterior a 5.2.3.18, 6.1.x anterior a 6.1.3.10 e 6.4.x anterior a 6.4.2.12. As instâncias alojadas e dedicadas já foram corrigidas pela Arista; os switches EOS, o CloudVision e os próprios equipamentos de periferia não são afetados. Qualquer utilizador autenticado, mesmo com o papel Enterprise Read Only, pode obter direitos de operador, fazer-se passar por um superutilizador interno e aceder a funções que nunca deveriam estar acessíveis remotamente, com possíveis consequências para o servidor VCO e para os dados que gere. Como o orquestrador distribui a configuração por todos os sites, o seu comprometimento afeta toda a rede.

O que fazer agora

1. Verifique a versão de cada orquestrador local na sua interface web e compare-a com a lista acima.
2. Atualize para 5.2.3.18, 6.1.3.10 ou 6.4.2.12 ou posterior, conforme o seu ramo.
3. Restrinja o acesso à interface web do VCO a redes de administração de confiança até instalar a atualização.
4. Analise os registos de acesso web à procura dos dois endereços publicados pela Arista, 74.82.197[.]86 e 38.54.50[.]151, e de caminhos invulgares, caracteres codificados, referências a serviços locais ou picos de pedidos.
5. Procure persistência: webshells, backdoors, ligações de saída inesperadas a partir do orquestrador e ações recentes de administradores; reveja as contas e elimine os acessos só de leitura que já não são necessários.

A nossa opinião

Uma conta só de leitura é muitas vezes entregue sem grande cuidado a um prestador ou a um auditor, por ser considerada inofensiva; esta falha mostra que numa consola de gestão qualquer conta é uma possível porta de entrada. Os orquestradores de rede merecem o mesmo tratamento que as firewalls: rede de administração isolada, autenticação multifator, revisão regular das contas e correções aplicadas sem demora.

Fontes

• Arista — Security Advisory 0199: VeloCloud Orchestrator
• CISA — Known Exploited Vulnerabilities Catalog: CVE-2026-114625
• NIST NVD — CVE-2026-114625 Detail

Como escolhemos, verificamos e escrevemos nossas análises →