Arista VeloCloud Orchestrator: Dritter ausgenutzter Zero-Day in vier Monaten
SQL-Injection im On-Prem-VeloCloud-Orchestrator (CVE-2026-114625, CVSS 9.9) wird aktiv ausgenutzt. Schon ein Lesekonto reicht für Operator-Rechte. Patches für 5.2, 6.1 und 6.4 sind da.
Arista warnt vor einer kritischen Lücke im VeloCloud Orchestrator (VCO), die bereits für Angriffe genutzt wird. Es ist der dritte ausgenutzte Zero-Day im VCO innerhalb von rund vier Monaten. Ein Zero-Day ist eine Lücke, die Angreifer schon ausnutzen, bevor ein Patch verfügbar ist. Die US-Behörde CISA hat die Schwachstelle am 23. Oktober 2026 in ihren KEV-Katalog aufgenommen. KEV steht für „Known Exploited Vulnerabilities“ und listet nur Lücken, die nachweislich in freier Wildbahn ausgenutzt werden.
Was passiert ist
Die Lücke hat die Kennung CVE-2026-114625. Es handelt sich um eine SQL-Injection: Ein Angreifer schmuggelt eigene Datenbankbefehle in Eingaben, die die Anwendung ungeprüft an ihre Datenbank weiterreicht. Laut The Hacker News und SecurityWeek bewertet Arista sie mit CVSS 9.9 von 10. Einzelne andere Berichte nennen 9.4, an der Einstufung als kritisch ändert das nichts.
Der VCO ist die zentrale Verwaltungsoberfläche für VeloCloud-SD-WANs. SD-WAN bedeutet softwaregesteuerte Vernetzung von Standorten: Filialen, Rechenzentren und Cloud-Anbindungen werden darüber konfiguriert. Wer den Orchestrator kontrolliert, kontrolliert also einen großen Teil des Firmennetzes.
Für einen Angriff braucht man Netzzugriff auf die Weboberfläche und ein gültiges Login. Das klingt nach einer Hürde, ist aber eine niedrige. Nach Angaben von Arista reicht schon die schwächste eingebaute Rolle, „Enterprise Read Only“, also ein reines Lesekonto. Darüber kann ein Angreifer Operator-Rechte erlangen und sich als lokaler „Superuser Operator“ ausgeben. Das ist die höchste Kontrollebene im VCO. Laut BleepingComputer ist der Angriff wenig komplex und braucht keine Mitwirkung eines Nutzers.
Was sich seit meinem Post geändert hat
Inzwischen gibt es mehr Details. Die korrigierten Versionen sind bekannt, der CVSS-Wert ist veröffentlicht, und die Abgrenzung ist klarer. Die beiden Vorgänger-Lücken aus Juli (CVE-2026-16812) und September (CVE-2026-93952) ließen sich ohne Login ausnutzen. Die neue Lücke ist die erste der drei, die ein Konto voraussetzt.
Offen bleibt laut The Hacker News einiges: Arista sagt nicht, seit wann angegriffen wird, welche Orchestratoren betroffen waren und was die Angreifer danach getan haben. Unklar ist auch, ob ein Update bereits erlangten Zugriff wieder entfernt.
Wer betroffen ist
Betroffen sind On-Prem-Installationen des VCO in diesen Versionen:
- 5.2 vor 5.2.3.18
- 6.1 vor 6.1.3.10
- 6.4 vor 6.4.2.12
Die von Arista gehosteten und dedizierten Orchestratoren sind bereits gepatcht. VeloCloud Gateway und Edge sind nicht betroffen, ebenso wenig der 7.0-Zweig. Releases ohne Support hat Arista nicht geprüft. Wer so etwas betreibt, sollte sich an den Arista-Support (TAC) wenden. Arista weist laut The Hacker News außerdem darauf hin, dass der VCO standardmäßig erreichbar ist und sich das nicht per Konfiguration verhindern lässt. Wie viele Installationen in Deutschland betroffen sind, sagen die Quellen nicht.
Was du jetzt tun solltest
- Update einspielen. Auf 5.2.3.18, 6.1.3.10, 6.4.2.12 oder neuer aktualisieren. Wer noch auf 6.1 ist, sollte zusätzlich prüfen, ob die September-Lücke dort abgedeckt ist. Laut The Hacker News nennt Arista dafür keine korrigierte 6.1-Version.
- Zugriff einschränken. Die Weboberfläche nur aus vertrauenswürdigen Admin-Netzen erreichbar machen und unnötige ausgehende Verbindungen vom VCO-Host blockieren.
- Konten aufräumen. Weil schon ein Lesekonto reicht, ist jedes vergessene oder geteilte Login ein Risiko. Konten prüfen und nicht benötigte entfernen.
- Auf Spuren prüfen. In der Advisory nennt Arista zwei IP-Adressen aus beobachteten Angriffen. Diese blockieren und in den Logs danach suchen. Zusätzlich auf auffällige Pfade, kodierte Zeichen, Verweise auf interne Dienste und hohe Anfrageraten achten. Prüfen, ob Admins zuletzt unerwartete Änderungen vorgenommen haben. Auch nach Webshells und Hintertür-Diensten suchen.
- Bei Verdacht Beweise sichern. Web-, Anwendungs-, System- und Datenbanklogs sowie Dateizeitstempel sichern, bevor man aufräumt, und Arista TAC einschalten.
Einordnung
Drei ausgenutzte Zero-Days im selben Verwaltungsprodukt innerhalb weniger Monate sind kein Zufall. Angreifer haben den VCO offensichtlich gezielt im Visier, weil er ein lohnendes Ziel ist: Wer ihn übernimmt, hat den Schlüssel zum ganzen Standortnetz. Wer VCO On-Prem betreibt, sollte ihn deshalb wie einen Domänencontroller behandeln. Das heißt: nicht ins offene Netz stellen, Patches sofort einspielen und Logs aktiv überwachen. Ich würde nach dieser Serie außerdem ernsthaft prüfen, ob die gehostete Variante nicht die ruhigere Wahl ist. Die war diesmal schon gepatcht, als die Meldung kam.