Arista VeloCloud: SQL injection CVE-2026-114625 con CVSS 9.9 e scadenza CISA al 26 ottobre

Arista Networks ha divulgato CVE-2026-114625, SQL injection in VeloCloud Orchestrator On-Prem con CVSS 9.9. CISA l'ha inserita nel catalogo KEV il 23 ottobre 2026 con remediation deadline al 26 ottobre. Qualsiasi utente autenticato con ruolo Enterprise Read Only può elevarsi a superuser operator.

Arista Networks ha pubblicato la Security Advisory 0199 il 22 ottobre 2026 per CVE-2026-114625, una vulnerabilità SQL injection nel VeloCloud Orchestrator On-Prem che ha ottenuto il punteggio massimo possibile per una falla con autenticazione richiesta: CVSS 9.9 sulla scala 3.1. CISA l'ha aggiunta al catalogo Known Exploited Vulnerabilities il 23 ottobre, imponendo alle agenzie federali statunitensi una deadline di remediation al 26 ottobre 2026. La distanza tra disclosure e scadenza: tre giorni.

Punti chiave

Qualsiasi utente autenticato con il ruolo minimo Enterprise Read Only può elevarsi a superuser operator manipolando query SQL interne
Il VeloCloud Orchestrator è esposto di default e non esiste configurazione che possa prevenire l'esposizione, secondo l'advisory Arista
Le build correttive sono 5.2.3.18, 6.1.3.10 e 6.4.2.12; VeloCloud Gateway e Edge non sono affetti
CISA ha pubblicato due indicatori di compromissione: gli indirizzi IP 74.82.197.86 e 38.54.50.151

Il meccanismo: da Enterprise Read Only a superuser operator

La vulnerabilità, classificata CWE-89 (SQL injection) con bug ID interno BUG2043622, risiede in un'applicazione web del pannello di gestione SD-WAN. Non richiede privilegi elevati per l'attacco: l'advisory Arista specifica che "any authenticated user can gain operator privileges and masquerade as a local 'superuser operator' user". Il vettore è network-based (AV:N), la complessità di attacco è bassa (AC:L), serve una sessione autenticata con privilegi limitati (PR:L), non è richiesto intervento dell'utente vittima (UI:N), e l'impatto si propaga oltre il target immediato (S:C) con effetti massimi su confidenzialità, integrità e disponibilità (C:H/I:H/A:H). Il CVSS 4.0 conferma la gravità con 9.4, secondo il record CVE.org. Il punteggio 9.9 su scala 3.1 rappresenta il massimo tecnicamente ottenibile quando il requisito di autenticazione impedisce il 10.0, come osservato nelle analisi di Shattered e Rescana. La vettorialità completa è CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H.

Exploitation attiva e indicatori pubblicati

Arista ha confermato che la falla "is known to be actively exploited". CISA, nella KEV entry, ha motivato l'inclusione con "based on evidence of active exploitation". Il catalogo governativo impone alle agenzie federali statunitensi il rispetto della Binding Operational Directive 26-04, che richiede sia il patching entro la deadline che un forensic triage per verificare eventuali compromissioni pre-patch. Sono stati pubblicati due indicatori di compromissione associati all'attività malevola: gli indirizzi IP 74.82.197.86 e 38.54.50.151. Non emergono attribuzioni a threat actor specifici nel materiale raccolto. La data di inizio effettiva della campagna di attacco non è specificata da Arista.

"any authenticated user can gain operator privileges and masquerade as a local 'superuser operator' user" — Arista Security Advisory 0199

Le build corrette e il perimetro di rischio

Le versioni corrette sono 5.2.3.18, 6.1.3.10 e 6.4.2.12 per i rispettivi train. Il train 7.0 non è menzionato come vulnerabile nel dossier. VeloCloud Gateway e Edge sono esplicitamente esclusi dal perimetro di rischio. Per le istanze Hosted e Dedicated, Arista ha già applicato le correttive lato provider. Un elemento di frizione operativa emerge dalla sovrapposizione tra advisory: le stesse build fixate per CVE-2026-114625 compaiono nella Security Advisory 0201 relativa a un diverso problema di sicurezza. Gli operatori devono gestire sequenzialmente vulnerabilità con effetti distinti senza poter distinguere per versione.

Il pattern: terza VCO nel 2026

CVE-2026-114625 è la terza vulnerabilità nel VeloCloud Orchestrator segnalata come sfruttata nel 2026, dopo CVE-2026-16812 (luglio) e CVE-2026-93952 (settembre). La frequenza solleva questioni sul piano di sicurezza dello strato di gestione SD-WAN, elemento critico per l'infrastruttura di rete distribuita delle aziende. Il ruolo Enterprise Read Only, tipicamente assegnato a utenti tenant, clienti o partner MSP per audit e monitoraggio, diventa in questo contesto un ponte per il controllo totale dell'orchestratore. La struttura dei privilegi nell'architettura multi-tenant di VeloCloud richiede una riconsiderazione delle pratiche di accesso condiviso.

Cosa fare adesso

Arista indica le seguenti azioni prioritarie per gli operatori con istanze on-prem: 1. Aggiornare immediatamente alle build corrette: 5.2.3.18 per il train 5.2, 6.1.3.10 per il train 6.1, 6.4.2.12 per il train 6.4. Le versioni precedenti, incluse quelle patchate per CVE precedenti, non proteggono da questa falla. 2. Eseguire forensic triage sui sistemi: verificare la presenza degli indicatori di compromissione 74.82.197.86 e 38.54.50.151 nei log di accesso e nelle connessioni al VCO. CISA richiede questo controllo esplicitamente per BOD 26-04. 3. Rivedere gli account con privilegi di lettura: audit delle sessioni Enterprise Read Only attive, con verifica di anomalie di elevazione privilegi o accesso a funzionalità amministrative non autorizzate. 4. Monitorare le advisory successive: le stesse build correggono anche altri problemi di sicurezza; gli operatori devono verificare la completezza della copertura patch per il proprio train.

Chiusura editoriale

La finestra di tre giorni tra disclosure e deadline CISA è tra le più strette del 2026 per una vulnerabilità di questa gravità. La combinazione di exploitation confermata, impatto massimo su scala CVSS e assenza di mitigazioni configurabili rende CVE-2026-114625 un evento di patching obbligatorio e immediato per ogni organizzazione con VeloCloud Orchestrator On-Prem. La frequenza delle falle VCO sfruttate nell'anno suggerisce che il perimetro di gestione SD-WAN meriti una rivalutazione strategica dei controlli di accesso e dei cicli di aggiornamento.

Fonti

Fonti e riferimenti

Ricevi DeafLetter