Kerngegevens
- Leverancier
- Arista
- Soort software
- –
- Getroffen versies
- VeloCloud Orchestrator On-Prem vanaf 5.2.0 tot 5.2.3.14, vanaf 6.1.0 tot 6.1.3.4, vanaf 6.4.0 tot 6.4.2.4, vanaf 7.0.0 tot 7.0.0.1
- Oplossing
- Update beschikbaar
- Opgeloste versie
- VeloCloud Orchestrator On-Prem 5.2.3.14
- VeloCloud Orchestrator On-Prem 6.1.3.4
- VeloCloud Orchestrator On-Prem 6.4.2.4
- VeloCloud Orchestrator On-Prem 7.0.0.1
- CVE gepubliceerd
- 27 juli 2026
- Op de KEV-lijst sinds
- 27 juli 2026
- Gepubliceerd op LekkenRadar
- 24 oktober 2026
- Laatst gewijzigd bij NVD
- 24 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In VeloCloud Orchestrator (VCO) On-Prem zit een lek waarmee een aanvaller via het netwerk bij interne functies kan komen die niet bedoeld zijn om van buitenaf bereikbaar te zijn. Daarmee kan hij de server onder VCO beïnvloeden. Het gaat om een OS-commando-injectie. Het lek staat sinds juli 2026 op de lijst van actief misbruikte lekken.
Wie loopt risico?
Je loopt risico als je zelf een on-prem VCO beheert met een versie die vóór de opgeloste versie van jouw reeks valt. De aanvaller heeft geen inloggegevens nodig en kan het lek via het netwerk misbruiken. Gehoste en dedicated VCO-omgevingen zijn volgens de leverancier al eerder gepatcht. Bij een geslaagde aanval kunnen vertrouwelijkheid, integriteit en beschikbaarheid van de orchestrator en de bijbehorende gegevens in gevaar komen.
Wat moet je doen?
Ga na of je on-prem VCO gebruikt
Controleer welke versie van VeloCloud Orchestrator On-Prem je draait. Gehoste en dedicated omgevingen zijn al door de leverancier bijgewerkt.
Werk bij naar een opgeloste versie
Installeer minstens de opgeloste versie van jouw reeks: 5.2.3.14, 6.1.3.4, 6.4.2.4 of 7.0.0.1. Kies bij voorkeur meteen 5.2.3.18, 6.1.3.10 of 6.4.2.12: die lossen ook het SQL-injectielek van oktober op.
Beperk de bereikbaarheid
Zorg dat de orchestrator niet onnodig vanaf internet of andere onbetrouwbare netwerken bereikbaar is, bijvoorbeeld met firewallregels, totdat je bent bijgewerkt.
Controleer op sporen van misbruik
Het lek wordt sinds juli actief misbruikt. Kijk daarom in logbestanden en op de host naar ongebruikelijke activiteit en schakel zo nodig je beveiligingsteam in.
Ook actief misbruikt: SQL-injectie
In oktober kwam er een tweede misbruikt lek in VeloCloud Orchestrator bij (CVE-2026-114625, https://lekkenradar.nl/cve/cve-2026-114625/).
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het lek is een OS-commando-injectie (CWE-78) in VeloCloud Orchestrator On-Prem. Een interne functie die niet voor externe toegang bedoeld is, blijkt op afstand bereikbaar. Een aanvaller kan daardoor zonder authenticatie en zonder gebruikersinteractie via het netwerk bij bevoorrechte functionaliteit komen en de VCO-host beïnvloeden. De CNA geeft een CVSS 4.0-score van 10 met hoge impact op vertrouwelijkheid, integriteit en beschikbaarheid, ook voor gekoppelde systemen. Het lek is extern ontdekt en staat op de KEV-lijst sinds 27 juli 2026.
CVSS-vector (versie 4.0, basisscore 10,0, bron: CNA)
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:P/AU:X/R:X/V:X/RE:X/U:X- Zwakheid (CWE)
- CWE-78 · Onjuiste neutralisatie van speciale elementen in een OS-commando (OS-commando-injectie)
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 1,0%
- Aanvalscode openbaar
- Ja
- Op de KEV-lijst van CISA
- Sinds 27 juli 2026
- Deadline van CISA
- 30 juli 2026
- Gebruikt door ransomwaregroepen
- Niet bekend