CVE-2026-114625: Arista VeloCloud Orchestrator SQLインジェクション脆弱性

The Hacker Newsによると、この脆弱性はCVE-2026-114625として追跡されており、CVSSスケールで9.9と評価されている。[2] SecurityWeekは、それがリモートで悪用可能なSQLインジェクションとして説明されていると述べている。[1]Aristaのアドバイザリーは、「認証されたユーザーはオペレーター権限を取得でき、ローカルの'スーパーユーザーオペレーター'ユーザーになりすましができる」と述べている。[3] アドバイザリーはまた、必要な最小ユーザーロールはEnterprise Read Onlyであり、最も低い組み込みテナントロールである[3] と述べており、そして「露出を防ぐ設定は存在しない」と述べている。[3]The Hacker Newsが報じたところによると、オンプレミスの修正はVCO 5.2.3.18、6.1.3.10、6.4.2.12に含まれており、ホストされたおよび専用オーケストレーターはすでにパッチが適用されている。[2] このアウトレットは、7月と9月の脆弱性を修正したリリースを実行しているオーケストレーターは依然として影響を受けている[2]と付け加えている。同じレポートによると、VeloCloud GatewayとVeloCloud Edgeは影響を受けない。[2] The Hacker Newsはまた、アドバイザリーは攻撃がいつ始まったのか、どのオーケストレーターが影響を受けたのか、または攻撃者が脆弱性を悪用した後に何をしたのかを述べていないことに注目している。[2]開発者サイトDEV Communityが報じたところによると、Aristaは攻撃で見られた2つのアドレスを名前付けている: 74.82.197[.]86と38.54.50[.]151。[4]Safeguardは、2026年10月23日にCISAのKEV JSONフィードを確認したとき[5]、カタログはCVE-2026-114625を含んでいない。[5]