Arista behebt aktiv ausgenutzte Command-Injection-Schwachstelle in VeloCloud Orchestrator

Arista hat Patches für eine kritische Schwachstelle im lokal betriebenen VeloCloud Orchestrator (VCO) veröffentlicht, nachdem das Unternehmen bestätigt hat, dass Angreifer die Schwachstelle aktiv ausnutzen.

Die als CVE-2026-16812 erfasste Schwachstelle ist eine nicht authentifizierte Command-Injection-Schwachstelle im Betriebssystem mit einem CVSS-Score von 10,0. VCO wird zur zentralen Konfiguration und Verwaltung von VeloCloud-SD-WAN-Umgebungen und deren Edge-Geräten eingesetzt. Ein Angreifer, der die Weboberfläche der Plattform erreichen kann, kann privilegierte Funktionen aufrufen, ohne Mandanten- oder Administratoranmeldedaten zu benötigen.

Arista erklärte, dass eine Ausnutzung die Vertraulichkeit, Integrität und Verfügbarkeit des Orchestrators sowie der darüber verwalteten Informationen und Systeme beeinträchtigen könnte. Der Anbieter hat nicht bekannt gegeben, wann die Angriffe begonnen haben, wie sie durchgeführt werden oder wer dafür verantwortlich ist.

Betroffene und korrigierte Versionen

• VCO-5.2.x-Versionen vor 5.2.3.14
• VCO-6.1.x-Versionen vor 6.1.3.4
• VCO-6.4.x-Versionen vor 6.4.2.4
• VCO-7.0.x-Versionen vor 7.0.0.1

Die Schwachstelle ist in den Versionen 5.2.3.14, 6.1.3.4, 6.4.2.4 und nachfolgenden Versionen behoben. Arista teilte mit, dass gehostete und dedizierte VCO-Dienste bereits vor Veröffentlichung des Sicherheitshinweises aktualisiert wurden. Die Produkte VeloCloud Gateway und VeloCloud Edge sind nicht direkt betroffen, obwohl eine Kompromittierung des Orchestrators einen Weg zu verwalteten Edge-Geräten eröffnen könnte. Nicht mehr unterstützte Versionszweige wurden nicht untersucht; Kunden, die diese verwenden, sollten Arista bezüglich einer Anleitung zum Upgrade kontaktieren.

Die US-Behörde für Cybersicherheit und Infrastruktursicherheit hat die Schwachstelle in ihren Katalog der bekannten ausgenutzten Schwachstellen aufgenommen. Bundesbehörden ohne militärischen Auftrag wurden angewiesen, bis zum 30. Juli 2026 Schutzmaßnahmen umzusetzen.

Empfohlene Prüfungen

Während der Behebung sollten Unternehmen die VCO-Schnittstelle auf vertrauenswürdige Administrationsnetzwerke beschränken und Protokolle auf verdächtige Anfragen, unerwartete ausgehende Verbindungen, Konfigurationsänderungen, Befehlsausführung, Dateierstellung oder Zugriffe auf Datenbanken und Anmeldedaten untersuchen. Arista hat diese IP-Adressen als Quellen der Ausnutzung identifiziert: 8.19.75.217, 206.72.242.124 und 206.72.242.162.

Da möglicherweise auch andere Infrastrukturen genutzt wurden, sind diese Indikatoren nicht vollständig. Mutmaßlich betroffene Unternehmen sollten Protokolle und Zeitstempel von Dateien sichern, Anmeldedaten ändern, Administratoraktivitäten überprüfen, verwaltete Geräte validieren und den Neuaufbau kompromittierter Instanzen in Betracht ziehen. Ein Patch allein entfernt den Zugriff eines Angreifers möglicherweise nicht, wenn die Ausnutzung bereits vor dem Update stattgefunden hat.