VeloCloud Orchestrator : une injection SQL exploitée

Arista a publié le 22 octobre un correctif pour CVE-2026-114625, une faille d'injection SQL dans VeloCloud Orchestrator (VCO) déjà exploitée par des attaquants. La console qui pilote les réseaux SD-WAN VeloCloud permet, via cette vulnérabilité, à n'importe quel utilisateur authentifié d'obtenir des privilèges d'opérateur. L'agence américaine CISA l'a ajoutée dès le lendemain à son catalogue des vulnérabilités activement exploitées (KEV).

Un simple compte en lecture seule suffit

Selon l'avis de sécurité 0199 d'Arista, la faille permet à tout utilisateur connecté de « se faire passer pour un opérateur superutilisateur local ». Le rôle minimal requis est Enterprise Read Only, le rôle de locataire intégré le moins privilégié. Un attaquant doit donc disposer d'une session valide, mais pas d'un compte d'administration.

Arista attribue à la vulnérabilité un score CVSS v3.1 de 9,9 et un score CVSS v4.0 de 9,4. Une exploitation réussie peut compromettre la confidentialité, l'intégrité et la disponibilité de l'orchestrateur et des données qu'il gère, ce qui n'est pas anodin pour un outil qui centralise la configuration des équipements réseau d'une entreprise.

Le constructeur précise avoir lui-même détecté l'exploitation. Il rappelle aussi que l'interface web de VCO est exposée par défaut et qu'aucun réglage ne permet d'empêcher cette exposition.

Versions concernées et correctifs

Seules les installations sur site (VeloCloud Orchestrator On-Prem, anciennement commercialisé par Broadcom) sont concernées. Les versions hébergées, y compris l'offre Dedicated, étaient vulnérables mais ont déjà été corrigées par Arista.

Les versions vulnérables et leurs correctifs :

• branche 5.2 : versions antérieures à 5.2.3.18, corrigées à partir de 5.2.3.18 ;
• branche 6.1 : versions antérieures à 6.1.3.10, corrigées à partir de 6.1.3.10 ;
• branche 6.4 : versions antérieures à 6.4.2.12, corrigées à partir de 6.4.2.12.

Les versions dont le support a pris fin n'ont pas été évaluées. Arista invite les clients concernés à contacter son support technique pour connaître leurs options de mise à niveau.

Pas la première alerte sur VCO

Ce n'est pas la première fois que l'orchestrateur est visé. Fin juillet, Arista avait déjà corrigé CVE-2026-16812, une injection de commandes notée 10 sur 10 et exploitable sans authentification, elle aussi utilisée dans des attaques. Les correctifs de juillet ne suffisent pas : les versions qui les intégraient restent vulnérables à la nouvelle faille, puisqu'elles sont antérieures aux numéros cités plus haut.

Ce qu'il faut vérifier

En attendant de pouvoir appliquer la mise à jour, Arista recommande plusieurs mesures :

• restreindre l'accès à l'interface web de VCO aux seuls réseaux d'administration de confiance ;
• bloquer et rechercher dans les journaux les deux adresses IP observées lors des attaques, 74.82.197.86 et 38.54.50.151 ;
• examiner les journaux d'accès web à la recherche de chemins inhabituels, de caractères encodés, de références à des services internes ou de volumes de requêtes anormaux ;
• surveiller toute connexion sortante inattendue depuis l'hôte VCO et rechercher d'éventuels webshells ou démons malveillants ;
• passer en revue l'activité récente des administrateurs.

En cas de suspicion de compromission, le constructeur conseille de conserver les journaux web, applicatifs, système et de base de données avant toute remédiation. Comme pour les autres équipements de bordure visés ces dernières semaines, à l'image d'Ivanti Connect Secure, la présence dans le catalogue KEV doit faire passer ce correctif en tête des priorités, selon la logique décrite dans notre guide pour prioriser les correctifs.