CVE-2026-114625: Уязвимость SQL Injection в Arista VeloCloud Orchestrator

BleepingComputer цитирует Arista, которая заявляет, что "любой аутентифицированный пользователь может получить привилегии оператора и выдавать себя за локального пользователя 'superuser operator'."[2] По данным SecurityOnline, в Advisory 0199 компании Arista говорится, что уязвимость "была обнаружена компанией Arista и известно, что она активно эксплуатируется."[3]The Hacker News сообщает, что злоумышленнику необходим сетевой доступ к веб-интерфейсу orchestrator и действительные учетные данные. Минимальная роль — Enterprise Read Only, самая низкая встроенная роль для пользователей-клиентов.[1] SecurityOnline ссылается на Arista, которая заявляет, что "не существует конфигурации, которая могла бы предотвратить уязвимость."[3]По данным The Hacker News, исправление для локальных orchestrator находится в VCO 5.2.3.18, 6.1.3.10 и 6.4.2.12, в то время как Hosted и Dedicated orchestrator уже исправлены.[1] Издание добавляет, что VeloCloud Gateway и VeloCloud Edge не затронуты.[1]The Hacker News также сообщает, что orchestrator, работающие на выпусках, которые исправили уязвимости VCO, эксплуатировавшиеся в июле и сентябре, все еще затронуты[1]. По его словам, это третья уязвимость в VCO с конца июля, о которой Arista сообщила как об эксплуатируемой[1].The Hacker News говорит, что в advisory не указано, когда начались атаки, какие orchestrator были поражены или что злоумышленники делали после эксплуатации уязвимости.[1] По анализу DEV Community, Arista называет два адреса, обнаруженные в атаках: 74.82.197[.]86 и 38.54.50[.]151.[4]WindowsForum сообщает, что каталог CISA KEV получил новую запись 23 октября 2026 года: CVE-2026-114625[5].