Arista: aktywnie wykorzystywana luka CVE-2026-93952 w VeloCloud Orchestrator, CVSS 10.0

Arista poinformowała 22 września, że napastnicy wykorzystują lukę CVE-2026-93952 w lokalnym VeloCloud Orchestrator, czyli serwerze zarządzającym urządzeniami Edge w sieci VeloCloud SD-WAN. Luka dostała ocenę CVSS 3.1 równą 10.0 i pozwala zdalnemu napastnikowi bez konta sięgnąć po funkcje wewnętrzne oraz wpłynąć na host orkiestratora. Udany atak może oznaczać przejęcie orkiestratora i zarządzanych przez niego danych, a także dostęp do podłączonych urządzeń Edge. Arista podała, że lukę zgłoszono z zewnątrz i jest znana jako aktywnie wykorzystywana, ale nie ujawniła, kiedy zaczęły się ataki ani jaka jest ich skala.

Kogo dotyczy

Narażone są wyłącznie orkiestratory skonfigurowane tak, że urządzenia Edge uwierzytelniają się certyfikatem wystawionym przez orkiestrator. Arista nie wskazała, który z trybów Certificate Acquire i Certificate Required spełnia ten warunek. Napastnik potrzebuje dodatkowo dostępu sieciowego do interfejsu WWW orkiestratora oraz publicznej części certyfikatu urządzenia Edge. Dotknięte wydania obejmują również te, które naprawiały inną lukę VCO, zgłoszoną przez Aristę jako wykorzystywaną w lipcu.

Co zrobić

Na 22 września wydania z poprawką są dostępne dla gałęzi 5.2 i 6.4. Dla gałęzi 6.1 i 7.0 poprawek jeszcze nie ma. Wersje Hosted i Dedicated orkiestratora Arista załatała po swojej stronie.