CVE-2026-114625criticalbajo ataqueCWE-89

CVE-2026-114625: fallo crítico en Arista Networks VeloCloud Orchestrator

Security Advisory 0199

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear VeloCloud Orchestrator

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

78Vexday Risk Score

Prioriza la corrección. Ella está bajo explotación confirmada por CISA y tiene prueba de concepto pública.

ssvc Actcvss 9.4epss 1.0%
de la publicación al arma6 días
Publicada en NVD22 oct
1ª PoC+6d
CISA KEV+1d
Acción exigida por CISAplazo federal: 2026-10-26

Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.

En resumen

El VeloCloud Orchestrator (VCO) instalado en las instalaciones del cliente (on-prem) tiene un fallo que permite a cualquier usuario autenticado obtener privilegios de operador y hacerse pasar por un superusuario interno. Esto puede exponer funciones destinadas solo al uso interno y poner en riesgo el orquestador y los datos que gestiona.

Detalle técnico

Un atacante remoto con cualquier cuenta autenticada válida en un VCO on-prem puede obtener privilegios de operador y suplantar al usuario local 'superuser operator', accediendo a funcionalidades no previstas para acceso remoto. La explotación exitosa puede comprometer la confidencialidad, la integridad y la disponibilidad del host del orquestador y de los datos que gestiona (CVSS 9.4, CRITICAL). Las versiones Hosted y Dedicated de VCO también se vieron afectadas y ya han sido parcheadas.

Resumen generado y traducido por IA a partir de la descripción oficial.
VeloCloud Orchestrator (VCO) on-prem has a security issue where this issue may allow a remote attacker to access privileged internal functionality and impact the VCO host. Successful exploitation may compromise the confidentiality, integrity, and availability of the orchestrator and data managed by the orchestrator. On an affected system, any authenticated user can gain operator privileges and masquerade as a local "superuser operator" user. This includes access to functionality that is intended for internal use only and which is not intended to be remotely accessible. Hosted, including Dedicated, versions of VCO were impacted and have already been patched.
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H
Productos afectados
Arista Networks · VeloCloud Orchestrator
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.