Kerngegevens
- Leverancier
- Arista
- Product
- VeloCloud Orchestrator
- Soort software
- –
- Getroffen versies
- VeloCloud Orchestrator vanaf 5.2.0 tot 5.2.3.18, vanaf 6.1.0 tot 6.1.3.10, vanaf 6.4.0 tot 6.4.2.12
- Oplossing
- Update beschikbaar
- Opgeloste versie
- VeloCloud Orchestrator 5.2.3.18
- VeloCloud Orchestrator 6.1.3.10
- VeloCloud Orchestrator 6.4.2.12
- CVE gepubliceerd
- 22 oktober 2026
- Op de KEV-lijst sinds
- 23 oktober 2026
- Gepubliceerd op LekkenRadar
- 23 oktober 2026
- Laatst gewijzigd bij NVD
- 23 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In de on-prem versie van Arista VeloCloud Orchestrator zit een SQL-injectiefout. Daardoor kan elke ingelogde gebruiker operatorrechten krijgen en zich voordoen als de lokale 'superuser operator'. Zo komt die gebruiker bij functies die alleen voor intern gebruik bedoeld zijn en niet van buitenaf bereikbaar horen te zijn. Het lek staat op de lijst van actief misbruikte lekken en wordt nu misbruikt.
Wie loopt risico?
Je loopt risico als je VeloCloud Orchestrator zelf beheert (on-prem) en een versie gebruikt vanaf 5.2.0 tot 5.2.3.18, vanaf 6.1.0 tot 6.1.3.10 of vanaf 6.4.0 tot 6.4.2.12. Een aanvaller heeft wel een account nodig, maar dat hoeft geen beheerdersaccount te zijn. De aanval verloopt via het netwerk. De gehoste versies, inclusief Dedicated, waren ook getroffen, maar zijn volgens de leverancier al bijgewerkt.
Wat moet je doen?
Controleer of je on-prem VCO gebruikt
Kijk na welke versie van VeloCloud Orchestrator je on-prem draait. Gebruik je een gehoste of Dedicated versie, dan is die volgens de leverancier al gepatcht.
Werk bij naar een opgeloste versie
Update naar 5.2.3.18, 6.1.3.10 of 6.4.2.12, afhankelijk van de versielijn die je gebruikt.
Beperk de bereikbaarheid
Zorg dat de Orchestrator niet onnodig vanaf internet bereikbaar is. Beperk de toegang tot beheernetwerken, zeker zolang je nog niet hebt bijgewerkt.
Controleer accounts en activiteit
Kijk in de logboeken en bij de gebruikersaccounts of er ongebruikelijke activiteit is, zoals onverwachte operatorrechten.
Lees het advies van de leverancier
Volg de instructies in het beveiligingsadvies van Arista. Zijn er geen maatregelen beschikbaar, dan adviseert CISA het gebruik van het product te stoppen.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het lek is een SQL-injectie (CWE-89) in de on-prem versie van VeloCloud Orchestrator. Een ingelogde aanvaller met lage rechten kan via het netwerk, zonder gebruikersinteractie, operatorrechten krijgen. De aanvaller kan zich daarmee voordoen als de lokale gebruiker 'superuser operator' en komt bij functionaliteit die alleen voor intern gebruik bedoeld is. Succesvol misbruik raakt de vertrouwelijkheid, integriteit en beschikbaarheid van de orchestrator, de VCO-host en de beheerde gegevens. De CNA geeft een CVSS 4.0-score van 9,4.
CVSS-vector (versie 4.0, basisscore 9,4, bron: CNA)
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X- Zwakheid (CWE)
- CWE-89 · SQL-injectie (onjuiste neutralisatie van speciale elementen in een SQL-opdracht)
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 0,6%
- Aanvalscode openbaar
- Ja
- Op de KEV-lijst van CISA
- Sinds 23 oktober 2026
- Deadline van CISA
- 26 oktober 2026
- Gebruikt door ransomwaregroepen
- Niet bekend