Falla crítica en VeloCloud Orchestrator de Arista da privilegios de operador a cualquier usuario y ya se explota

Arista Networks confirmó que una falla en VeloCloud Orchestrator (VCO), la consola central de las redes SD-WANSigla en inglés de red de área amplia definida por software: tecnología que conecta las sedes y sucursales de una organización y administra su tráfico y sus políticas desde una consola central, en lugar de configurar cada equipo por separado. con las que muchas organizaciones conectan sus sucursales, ya se usa en ataques reales. Según el aviso de seguridad 0199 de Arista, publicado el 22 de octubre, cualquier usuario autenticado puede obtener privilegios de operador y hacerse pasar por el usuario local "superuser operator", con acceso a funciones pensadas solo para uso interno. Un día después, el 23 de octubre, la Agencia de Ciberseguridad y Seguridad de Infraestructura de Estados Unidos (CISA) la incorporó a su catálogo de vulnerabilidades explotadas conocidascatálogo de vulnerabilidades explotadas conocidas (KEV) Lista pública de la Agencia de Ciberseguridad y Seguridad de Infraestructura de Estados Unidos (CISA) que reúne vulnerabilidades con evidencia de explotación activa, para que se prioricen al corregir. y les dio a las agencias federales civiles un plazo de apenas tres días para corregirla.

Qué es la falla: una cuenta de solo lectura alcanza

La cuenta con menos permisos del sistema puede terminar con el control del orquestador. Arista la clasifica como una inyección SQLinyección SQL (SQLi) Vulnerabilidad que permite a un atacante colar instrucciones propias en las consultas que una aplicación envía a su base de datos, para ver, cambiar o borrar información sin autorización. que permite a un atacante remoto llegar a funciones internas privilegiadas y afectar al servidor donde corre el VCO, con impacto sobre la confidencialidad, la integridad y la disponibilidad del orquestador y de los datos que administra. En la práctica, es una escalada de privilegiosAprovechamiento de una falla para pasar de una cuenta con permisos limitados a otra con más control sobre un sistema, como la de administrador o root..

Para explotarla hacen falta acceso de red a la interfaz web y una sesión válida en el portal. El rol mínimo es Enterprise Read Only, el más bajo de los que trae el producto para los clientes. No exige que nadie haga clic en nada. Y según el fabricante, el VCO queda expuesto de forma predeterminada y no hay configuración que evite esa exposición. Arista le asigna 9,9 sobre 10 en el sistema común de puntuación de vulnerabilidades (CVSS) versión 3.1, y 9,4 en la versión 4.0.

A quién afecta: solo el orquestador instalado en servidores propios

El problema está en VeloCloud Orchestrator On-Prem, el que cada organización instala en su propia infraestructura. Están afectadas la rama 5.2 anterior a 5.2.3.18, la 6.1 anterior a 6.1.3.10 y la 6.4 anterior a 6.4.2.12. Las versiones alojadas por el fabricante, incluida la modalidad Dedicated, también eran vulnerables, pero Arista dice que ya las corrigió. VeloCloud Gateway, VeloCloud Edge, los switches con EOS y el resto de las líneas de Arista no están afectados. Las versiones fuera de soporte no se evaluaron: quien siga en una de ellas tiene que consultar al centro de asistencia técnica de Arista, conocido como TAC.

Estado de explotación: Arista la detectó en uso

La falla está explotada, según Arista y CISA. El fabricante afirma que fue él quien detectó el problema, que se sabe que está siendo explotado y que observó los ataques desde dos direcciones IP. En la ficha del catálogo de CISA, la agencia además marca como obligatorio un triaje forense para las agencias federales, es decir, revisar si alguien entró antes del parche.

Lo que no se sabe también pesa. Como señala Rescana, el aviso no dice cuándo empezó la explotación, cuántos sistemas fueron afectados ni qué hicieron los atacantes una vez adentro. Tampoco aclara si alguna instancia alojada fue atacada antes de recibir la corrección.

Qué hacer: actualizar y buscar rastros de una intrusión

• Verificar la versión exacta del orquestador y actualizar a 5.2.3.18, 6.1.3.10 o 6.4.2.12, o a una posterior de la misma rama.
• Mientras tanto, restringir el acceso a la interfaz web del VCO a redes de administración de confianza.
• Bloquear las direcciones 74.82.197.86 y 38.54.50.151 y buscarlas en los registros.
• Revisar los registros de acceso web en busca de rutas inusuales, caracteres codificados, referencias a servicios internos o picos de solicitudes.
• Vigilar el tráfico saliente del servidor, bloquear los puertos de salida que no se usen y buscar web shellsPrograma malicioso instalado en un servidor web que permite a un atacante enviarle órdenes a distancia mediante solicitudes web y usarlo para colocar otros archivos. y procesos ocultos que funcionen como puerta traseraMecanismo oculto que permite entrar a un sistema o controlarlo a distancia sin pasar por los controles de acceso normales..
• Revisar la actividad reciente de los administradores en busca de cambios inesperados.
• Si se sospecha un compromiso, conservar los registros web, de aplicación, del sistema y de la base de datos, y las marcas de tiempo de los archivos, antes de remediar.

El orden importa. Actualizar cierra la falla, pero no deshace un acceso que ya se haya obtenido, advierte Rescana, que también recuerda que no encontrar esas dos direcciones en los registros no descarta un ataque. Los clientes de las versiones alojadas no necesitan actualizar nada, aunque pueden consultar a Arista o a su proveedor por el estado de su propia instancia.

Ficha técnica

• CVE: CVE-2026-114625
• CVSS 3.1: 9,9 (CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H)
• CVSS 4.0: 9,4 (CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H)
• CWE: CWE-89, inyección SQL
• Versiones corregidas: 5.2.3.18, 6.1.3.10 y 6.4.2.12, o posteriores de cada rama
• Aviso del fabricante: Security Advisory 0199 de Arista, del 22 de octubre de 2026
• Registro: CVE-2026-114625 en la base NVD, publicado el 22 de octubre de 2026
• Alta en el catálogo KEV de CISA: 23 de octubre de 2026, con un plazo de tres días para las agencias federales civiles