Están explotando activamente un fallo crítico de inyección SQL en VeloCloud Orchestrator (VCO), el cual permite que usuarios autenticados obtengan acceso de operador superusuario. Arista Networks reveló la vulnerabilidad el 22 de octubre de 2026, advirtiendo que los ataques podrían comprometer el orquestador, su host y los datos gestionados. La empresa ya ha implementado parches de seguridad en los despliegues alojados.

Los hackers están explotando activamente un fallo crítico de inyección SQL en VeloCloud Orchestrator (VCO) que permite a los usuarios conectados obtener acceso de operador superusuario.

Arista Networks reveló la vulnerabilidad el 22 de octubre de 2026, advirtiendo que los ataques exitosos podrían comprometer el orquestador, su host y los datos que gestiona. Arista ya ha parcheado los despliegues alojados, incluidas las instancias Dedicadas.

Rastreada como CVE-2026-114625, la vulnerabilidad tiene una puntuación CVSS v3.1 de 9.9 y una puntuación CVSS v4.0 de 9.4. Arista descubrió el problema y confirmó su explotación activa.

El Aviso de Seguridad 0199 identifica la debilidad como CWE-89 (inyección SQL) y la rastrea internamente como BUG2043622. La explotación requiere acceso de red a la interfaz web de VCO y una sesión de portal autenticada válida. Sin embargo, los atacantes no necesitan una cuenta de administrador.

El rol de inquilino "Enterprise Read Only", el nivel más bajo integrado, proporciona acceso suficiente para explotar el fallo. El ataque no requiere interacción del usuario y es de baja complejidad.

Un atacante exitoso puede obtener privilegios de operador e impersonar una cuenta local de "operador superusuario". Esto abre el acceso a funciones internas que no deberían estar disponibles de forma remota.

Arista advierte que la explotación puede afectar la confidencialidad, integridad y disponibilidad tanto del orquestador como de sus datos gestionados.

El requisito de inicio de sesión es importante. Este no es un ataque no autenticado, sino que una cuenta limitada puede convertirse en una ruta hacia un control mucho más amplio.

Explotando el fallo de VeloCloud Orchestrator

Arista afirma que VCO está expuesto por defecto y ninguna configuración del producto elimina dicha exposición. Restringir el acceso a la red es una salvaguarda temporal, no una solución. Esta revelación sigue a una explotación previa de VeloCloud Orchestrator que involucraba una vulnerabilidad de inyección de comandos separada.

Otro informe relacionado cubrió fallos de inyección SQL de SonicWall que podrían convertir el acceso de solo lectura en control de administrador. Esos casos involucran vulnerabilidades diferentes y no deben confundirse con este problema.

Los despliegues locales afectados incluyen las versiones de VCO 5.2.x anteriores a la 5.2.3.18, las versiones de VCO 6.1.x anteriores a la 6.1.3.10 y las versiones de VCO 6.4.x anteriores a la 6.4.2.12. Debes actualizar a la versión corregida en tu línea de lanzamiento o a una versión posterior. Arista no ha evaluado el software que ha llegado al fin de su soporte.

VeloCloud Gateway y VeloCloud Edge no están afectados. Arista también enumera sus productos basados en EOS y otras plataformas nombradas como no afectadas. Debes comprobar primero la lista de software afectado en lugar de asumir que cada producto de Arista o VeloCloud necesita la misma actualización.

Arista identificó las direcciones IP 74.82.197.86 y 38.54.50.151 como fuentes observadas realizando ataques. Tus equipos de seguridad deben bloquear estas direcciones y buscar actividad relacionada en los registros históricos.

Los investigadores también deben examinar rutas inusuales similares a URLs, caracteres codificados, referencias a servicios locales o internos y tasas de solicitud inusualmente altas.

Siempre que sea posible, tus equipos deben preservar los registros de acceso web, de la aplicación backend, del sistema y de la base de datos, junto con las marcas de tiempo de los archivos relevantes, antes de la remediación.

Arista también recomienda restringir el acceso web a redes administrativas confiables, verificar conexiones salientes inesperadas, revisar los cambios de administrador y monitorear la presencia de servicios de puerta trasera o webshells.

Si estás fuera de las líneas de lanzamiento compatibles, debes contactar con el Centro de Asistencia Técnica de Arista sobre las opciones de actualización. Estos controles provisionales reducen la exposición, pero instalar una versión corregida sigue siendo la resolución recomendada.

Debido a que la explotación ya está confirmada, las organizaciones afectadas deben priorizar el parcheo junto con una revisión de signos de compromiso, en lugar de tratar la actualización como un mantenimiento rutinario.

Fuentes:
https://cybersecuritynews.com/hackers-exploiting-velocloud-orchestrator-flaw/