NCSC-2026-0459 [1.00] [M/H] Kwetsbaarheid verholpen in Arista VeloCloud Orchestrator (VCO) on-premises

Arista heeft een kritieke kwetsbaarheid verholpen in VeloCloud Orchestrator (VCO) On-Prem. De kwetsbaarheid met kenmerk CVE-2026-114625 heeft een CVSS-score van 9.9 en betreft SQL-injectie. Een geauthenticeerde kwaadwillende kan de kwetsbaarheid op afstand misbruiken om verhoogde rechten te verkrijgen en zich voor te doen als een lokale 'superuser operator'. Hierdoor kan de kwaadwillende toegang krijgen tot interne beheerfunctionaliteiten en mogelijk de vertrouwelijkheid, integriteit en beschikbaarheid van het systeem en de beheerde gegevens aantasten. Voor succesvol misbruik heeft een kwaadwillende toegang nodig tot de webinterface van VCO en een geldige gebruikerssessie. Een account met de laagste standaardrechten, Enterprise Read Only, is hiervoor voldoende. Volgens Arista is de kwetsbare functionaliteit standaard blootgesteld en kan dit niet via een configuratiewijziging worden verholpen. Succesvol misbruik kan leiden tot het verkrijgen van administratieve rechten en toegang tot interne functionaliteiten die normaal gesproken niet op afstand bereikbaar zijn. Hierdoor kunnen ook de door VCO beheerde netwerkomgevingen risico lopen. De kwetsbaarheid maakt het mogelijk voor elke geauthenticeerde gebruiker met minimaal een Enterprise Read Only-rol om remote code uit te voeren en privileges te escaleren naar operatorniveau. Hierdoor krijgt de gebruiker toegang tot interne superuserfuncties. Het product is standaard blootgesteld zonder configuratieopties om deze aanvalsvector te beperken. Er zijn meldingen van kwaadaardige IP-adressen die exploitatiepogingen uitvoeren, waaronder 74.82.197.86 en 38.54.50.151. Hosted VCO-instanties hebben reeds patches ontvangen om dit probleem te verhelpen. Arista bevestigt dat de kwetsbaarheid actief wordt misbruikt. Het NCSC adviseert om de beveiligingsupdates met spoed toe te passen en kwetsbare systemen te onderzoeken op aanwijzingen voor eerdere compromittering.