Критическая SQL-инъекция в Arista VeloCloud: хакеры взламывают управляющие серверы с минимальными правами

Уязвимость класса SQL-инъекции с идентификатором CVE-2026-114625 и оценкой 9,9 балла по шкале CVSS 3.1 (9,4 — по CVSS 4.0) поставила под удар серверы управления VeloCloud Orchestrator, от которых зависят корпоративные сети и подключённые филиалы. Arista Networks 22 октября официально подтвердила факт активной эксплуатации бреши. Для атаки злоумышленнику достаточно иметь доступ к веб-интерфейсу VCO и активную авторизованную сессию.

Роли Enterprise Read Only, самого низкого стандартного уровня, предназначенной лишь для чтения данных, оказалось достаточно, чтобы изменить запрос к базе данных из-за неправильной обработки входных значений. Успешный взлом позволяет выдать себя за локального оператора с полномочиями суперпользователя и обратиться к внутренним функциям, которые не должны быть открыты извне. Таким образом, захват управляющего сервера гораздо опаснее компрометации одного оконечного устройства — Arista предупреждает о возможном нарушении конфиденциальности, целостности и доступности как самого оркестратора, так и хранящихся в нём данных.

Под угрозой оказались локальные установки VCO: ветка 5.2.x до версии 5.2.3.18, ветка 6.1.x до 6.1.3.10 и ветка 6.4.x до 6.4.2.12. В более новых сборках этих линеек ошибка исправлена. Облачные варианты Hosted и Dedicated также были уязвимы, но производитель закрыл дыру на своей стороне.

Продукты VeloCloud Edge и Gateway в список затронутых не попали. Производитель назвал два IP-адреса — 74.82.197.86 и 38.54.50.151, — с которых уже велись атаки. Специалистам рекомендуют проверить журналы веб-доступа на необычные пути запросов, закодированные символы, обращения к локальным сервисам и резкие всплески активности.

При любых подозрениях на компрометацию Arista советует в первую очередь сохранить журналы веб-сервера, приложения, системы и базы данных, а также зафиксировать временные метки файлов, чтобы не потерять следы вторжения. Нынешняя атака продолжает тревожную серию. В сентябре злоумышленники уже использовали другую критическую брешь в VCO, которая при определённой схеме аутентификации вообще не требовала учётной записи портала.

Новая SQL-инъекция отличается механизмом и необходимостью авторизоваться хотя бы с минимальными правами. Этот инцидент ещё раз показывает, что управляющие серверы SD-WAN остаются лакомой целью не только для живых атакующих, но и для автоматизированных сканеров. Недавний эксперимент с нейросетью Claude наглядно продемонстрировал, что поиск уязвимостей в коде может привести к обнаружению дыр, которым больше двух десятков лет Claude нашел уязвимость возрастом 21 год среди почти 500 дыр в открытом ПО.

Пока обновление не выполнено, производитель рекомендует ограничить доступ к веб-интерфейсу доверенными административными сетями, отслеживать подозрительные исходящие соединения и регулярно проверять систему на появление веб-оболочек и скрытых служб. Масштаб уже состоявшихся атак Arista не раскрыла.