Arista corregge una vulnerabilità di command injection in VeloCloud Orchestrator sfruttata attivamente

Arista ha rilasciato patch per una vulnerabilità critica in VeloCloud Orchestrator (VCO) on-premise dopo aver confermato che gli aggressori stanno sfruttando la falla in attacchi reali.

Identificato come CVE-2026-16812, il problema è una vulnerabilità di command injection a livello di sistema operativo, sfruttabile senza autenticazione, con un punteggio CVSS pari a 10,0. VCO viene utilizzato per configurare e gestire centralmente gli ambienti VeloCloud SD-WAN e i relativi dispositivi Edge. Un aggressore in grado di raggiungere l’interfaccia web della piattaforma può invocare funzionalità con privilegi elevati senza disporre delle credenziali di un tenant o di un amministratore.

Arista ha dichiarato che lo sfruttamento potrebbe compromettere la riservatezza, l’integrità e la disponibilità dell’orchestratore, oltre alle informazioni e ai sistemi gestiti tramite esso. Il fornitore non ha rivelato quando siano iniziati gli attacchi, come vengano condotti né chi ne sia responsabile.

Versioni interessate e corrette

• Versioni VCO 5.2.x precedenti alla 5.2.3.14
• Versioni VCO 6.1.x precedenti alla 6.1.3.4
• Versioni VCO 6.4.x precedenti alla 6.4.2.4
• Versioni VCO 7.0.x precedenti alla 7.0.0.1

La vulnerabilità è stata risolta nelle versioni 5.2.3.14, 6.1.3.4, 6.4.2.4 e successive. Arista ha dichiarato che i servizi VCO ospitati e dedicati erano stati aggiornati prima della pubblicazione dell’avviso. I prodotti VeloCloud Gateway e VeloCloud Edge non sono direttamente interessati, sebbene la compromissione di un orchestratore possa fornire un percorso verso i dispositivi Edge gestiti. I rami di versione non più supportati non sono stati valutati; i clienti che li utilizzano devono contattare Arista per ricevere indicazioni sull’aggiornamento.

La Cybersecurity and Infrastructure Security Agency degli Stati Uniti ha aggiunto la vulnerabilità al proprio catalogo delle vulnerabilità sfruttate note. Alle agenzie civili federali è stato ordinato di applicare le misure di mitigazione entro il 30 luglio 2026.

Controlli consigliati

Durante la fase di bonifica, le organizzazioni dovrebbero limitare l’interfaccia VCO alle reti amministrative fidate e analizzare i log alla ricerca di richieste sospette, connessioni in uscita impreviste, modifiche alla configurazione, esecuzione di comandi, creazione di file o accessi a database e credenziali. Arista ha identificato i seguenti indirizzi IP come fonti dello sfruttamento: 8.19.75.217, 206.72.242.124 e 206.72.242.162.

Poiché potrebbero essere state utilizzate anche altre infrastrutture, gli indicatori non sono esaustivi. Le vittime sospette dovrebbero conservare i log e i timestamp dei file, ruotare le credenziali, esaminare l’attività degli amministratori, verificare i dispositivi gestiti e valutare la ricostruzione delle istanze compromesse. La sola applicazione delle patch potrebbe non rimuovere l’accesso dell’aggressore se lo sfruttamento è avvenuto prima dell’aggiornamento.