Arista Networks lanzó actualizaciones para corregir una vulnerabilidad crítica (CVE-2026-114625) en VeloCloud Orchestrator (VCO) On-Prem que está siendo explotada activamente. El fallo permite que usuarios autenticados escalen sus privilegios a "superusuario" mediante inyecciones SQL, comprometiendo la confidencialidad e integridad del sistema. Se recomienda a los administradores aplicar los parches inmediatamente, restringir el acceso a la interfaz web y bloquear IPs maliciosas identificadas.





Arista Networks ha lanzado actualizaciones de seguridad para parchear una vulnerabilidad de día cero explotada activamente que afecta a las implementaciones locales de VeloCloud Orchestrator (VCO).

VCO es un portal de gestión basado en web que ayuda a los administradores a configurar, supervisar y gestionar las SD-WAN (redes de área amplia definidas por software) de VeloCloud y los dispositivos edge asociados.

Rastreado como CVE-2026-114625, este fallo de severidad crítica puede permitir que atacantes con privilegios básicos, acceso a la interfaz web de VCO y una sesión autenticada válida escalen privilegios a través de ataques de inyección SQL de baja complejidad que no requieren interacción del usuario.

"VeloCloud Orchestrator (VCO) on-prem tiene un problema de seguridad donde este problema puede permitir que un atacante remoto acceda a funcionalidad interna privilegiada e impacte el host de VCO. La explotación exitosa puede comprometer la confidencialidad, integridad y disponibilidad del orquestador y los datos gestionados por el orquestador", afirmó Arista [Arista].

"En un sistema afectado, cualquier usuario autenticado puede obtener privilegios de operador y hacerse pasar como un usuario 'operador superusuario' local. Esto incluye el acceso a funcionalidades destinadas únicamente al uso interno y que no están diseñadas para ser accesibles remotamente".

La empresa señaló que ya ha parcheado las implementaciones de VCO alojadas que ejecutan la versión 5.2.3.18 o posterior, 6.1.3.10 o posterior, y 6.4.2.12 o posterior.

Hasta que se desplieguen los parches, Arista aconsejó a los administradores supervisar las conexiones desde direcciones IP maliciosas conocidas, restringir el acceso a la interfaz web de VCO a redes administrativas y revisar la actividad reciente de los administradores en busca de cambios inusuales.

También se recomienda a los administradores revisar los registros de acceso web de VCO en busca de actividades sospechosas, como solicitudes con componentes de ruta similares a URL inusuales, caracteres codificados, referencias a servicios locales o internos y altas tasas de solicitudes.

La compañía también advirtió a los equipos de seguridad que bloqueen las direcciones IP 74[.]82.197.86 y 38[.]54.50.151, que han sido observadas durante los ataques en curso.

"Si se sospecha de un compromiso, los operadores deben preservar los registros de acceso web de VCO, los registros de la aplicación backend, los registros del sistema, los registros de la base de datos y las marcas de tiempo relevantes del sistema de archivos antes de la remediación, siempre que sea operativamente viable", señaló, aconsejando a los clientes que contacten con el Centro de Asistencia Técnica (TAC) de Arista Networks para obtener ayuda adicional.

Este año, Arista ha parcheado otros tres fallos de día cero explotados activamente (CVE-2026-7473 en mayo, CVE-2026-16812 en julio y CVE-2026-93952 en septiembre) que afectan al Extensible Operating System (EOS) y a las implementaciones locales de VeloCloud Orchestrator.

Arista Networks es una empresa Fortune 500 y una de las corporaciones estadounidenses más grandes por ingresos, con más de 10.000 clientes en todo el mundo.

Fuente:
BleepingComputer