CVE-2026-114625: falha crítica em Arista Networks VeloCloud Orchestrator
Security Advisory 0199
Publicada em · Atualizada em
Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.
Priorize a correção. Ela está sob exploração confirmada pelo CISA e tem prova de conceito pública.
Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.
O VeloCloud Orchestrator (VCO) instalado on-premises tem uma falha que permite a qualquer usuário autenticado obter privilégios de operador e se passar por um superusuário interno. Isso pode expor funcionalidades destinadas apenas ao uso interno e colocar em risco o orquestrador e os dados que ele gerencia.
Um atacante remoto com qualquer conta autenticada válida em um VCO on-prem pode obter privilégios de operador e se passar pelo usuário local 'superuser operator', acessando funcionalidades não previstas para acesso remoto. A exploração bem-sucedida pode comprometer a confidencialidade, a integridade e a disponibilidade do host do orquestrador e dos dados gerenciados (CVSS 9.4, CRITICAL). As versões Hosted e Dedicated do VCO também foram afetadas e já receberam correção.