Критическая SQL-инъекция в VeloCloud Orchestrator: хакерам хватило учётной записи с правами «только чтение»

Злоумышленникам не понадобились ни сложные эксплойты, ни привилегированный доступ. Роль Enterprise Read Only — самый низкий стандартный уровень арендатора, предназначенный лишь для чтения конфигураций, — позволила повысить права до суперпользователя. 22 октября раскрыла детали проблемы, получившей идентификатор CVE-2026-114625.

Ошибка относится к классу SQL-инъекций (CWE-89). Через некорректно обработанные входные данные атакующий может изменить запрос к базе данных и выдать себя за локального оператора. В результате открывается доступ к внутренним функциям оркестратора, которые не должны быть доступны извне.

По шкале CVSS 3.1 уязвимость набрала 9,9 балла, а по CVSS 4.0 — 9,4 балла. Для успешной атаки требуется действующая авторизованная сессия в веб-интерфейсе VCO, но даже минимальных прав достаточно, чтобы получить контроль над системой. VeloCloud Orchestrator управляет программно-определяемыми глобальными сетями (SD-WAN), связывающими филиалы и удалённые площадки.

Захват такого сервера гораздо опаснее компрометации отдельного устройства, поскольку под угрозой оказываются конфиденциальность, целостность и доступность всей корпоративной сети и хранящихся в ней данных. Проблема затрагивает локальные установки VCO: ветку 5.2.x до версии 5.2.3.18, ветку 6.1.x до 6.1.3.10 и ветку 6.4.x до 6.4.2.12. В более новых сборках этих линеек ошибка уже исправлена.

Облачные варианты Hosted и Dedicated также были уязвимы, но Arista закрыла брешь на своей стороне. Устройства VeloCloud Edge и Gateway в бюллетене не упоминаются как затронутые. Производитель сообщил, что атаки уже фиксируются с IP-адресов 74.82.197.86 и 38.54.50.151.

В журналах веб-доступа рекомендуется искать необычные пути запросов, закодированные символы, обращения к локальным сервисам и резкие всплески активности. При подозрении на взлом советуют немедленно сохранить журналы веб-сервера, приложений, системы и базы данных, а также временные метки файлов. Нынешний инцидент продолжает тревожную серию.

В сентябре злоумышленники уже атаковали VCO через другую критическую брешь, которая при определённой схеме аутентификации вообще не требовала учётной записи. Новая SQL-инъекция отличается механизмом и необходимостью хотя бы минимального входа в систему. Arista призывает как можно быстрее обновить локальные инсталляции до исправленных версий.

До установки патча компания рекомендует ограничить доступ к веб-интерфейсу только доверенными административными сетями, отслеживать подозрительные исходящие соединения и проверять систему на появление веб-оболочек и скрытых служб. Масштаб уже состоявшихся взломов пока не раскрывается.