Ga naar inhoud
CyberNinja Logo

Tech

Arista VeloCloud: lek met CVSS 9.9 al misbruikt

  • Door Thomas Boeckmans
  • 4 min lezen
Arista VeloCloud: lek met CVSS 9.9 al misbruikt

Beheer jij of je IT-partner een eigen Arista VeloCloud Orchestrator voor je SD-WAN? Dan moet je nu updaten. Het lek CVE-2026-114625 (CVSS 9.9) is een SQL-injectie die al wordt misbruikt. CISA nam het op 23 oktober op in de KEV-catalogus.

In het kort

  • CVE-2026-114625 is een SQL-injectie in de on-premises VeloCloud Orchestrator. Een aanvaller met de laagste klantrol kan operator-controle krijgen (bron: BleepingComputer, The Hacker News).
  • Arista maakte het lek op 22 oktober bekend en meldt misbruik. CISA voegde het op 23 oktober toe aan de KEV-catalogus (bron: BleepingComputer, Hive Pro).
  • Gefixeerde builds voor on-premises: VCO 5.2.3.18, 6.1.3.10 en 6.4.2.12. Gehoste en dedicated orchestrators zijn al gepatcht.

Wat is er precies aan de hand?

De Orchestrator is het centrale beheerpunt van een VeloCloud SD-WAN. Wie daar binnenraakt, kan de verbindingen tussen je kantoren en filialen sturen.

Het lek zit in de manier waarop de Orchestrator invoer verwerkt. Een aanvaller kan zo eigen databasecommando’s laten uitvoeren. Daarvoor is wel een account nodig, maar de laagste klantrol volstaat.

Het is niet de eerste keer. The Hacker News noemt dit minstens de derde misbruikte zero-day in de VeloCloud Orchestrator. Eerdere lekken werden in juli en september aangevallen. De bronnen tellen niet allemaal hetzelfde, dus hou het bij “meerdere keren dit jaar”.

Ninja tip

Een patch voor een vorig lek beschermt je hier niet. Orchestrators met de releases die de lekken van juli en september oplosten, zijn nog kwetsbaar, omdat die builds ouder zijn dan de nieuwe fix.

Hoe staat het met de patch?

  • Gepatcht: on-premises builds 5.2.3.18, 6.1.3.10 en 6.4.2.12.
  • Al in orde: gehoste en dedicated orchestrators, volgens Arista.
  • Deadline: CISA gaf Amerikaanse federale diensten tot 26 oktober. Controleer de exacte datum in de KEV-catalogus.

Wat doe je vandaag?

Stappen voor vandaag

  • Weet welke variant je hebt

    Vraag je IT-partner of de Orchestrator on-premises draait of gehost is.

  • Installeer de gefixeerde build

    Kies de versie voor jouw tak uit de Arista-advisory.

  • Beperk de toegang

    De beheerinterface hoort niet open op het internet. Sta enkel bekende adressen toe.

  • Ruim accounts op

    Verwijder oude klantaccounts en wissel zwakke of hergebruikte wachtwoorden. Zet meerfactorauthenticatie aan.

  • Controleer de logs

    Zoek naar onverwachte aanmeldingen en wijzigingen sinds half oktober.

Wat betekent dit voor jou als KMO in de Kempen?

Weinig KMO’s hosten zelf een Orchestrator. Veel filiaalnetwerken draaien er wel op, beheerd door een externe partner. Vraag dus gewoon na: welke versie, wie patcht, en wanneer.

Veelgestelde vragen

Ben ik getroffen als mijn bedrijf VeloCloud gebruikt?

Alleen als je de Orchestrator zelf (on-premises) host. Gehoste en dedicated orchestrators zijn volgens de berichten al door Arista gepatcht. Vraag je IT-partner welke variant je hebt.

Moet de aanvaller al een account hebben?

Ja, minstens de laagste klantrol (Enterprise Read Only). Dat maakt het lek niet onschuldig: één gestolen of zwak wachtwoord volstaat om operator-rechten te krijgen.

Is er een workaround?

De bronnen noemen vooral de patch. Installeer de gefixeerde build en beperk de toegang tot de Orchestrator tot bekende adressen.

Onze mening

Dit is alweer een beheerplatform voor netwerken dat misbruikt wordt. Eerder deze maand waren dat ook Cisco SD-WAN Manager en Ivanti. Netwerkbeheer is een gewild doelwit omdat één inbraak veel deuren opent.

Wat wij erover vinden: een beheerinterface hoort nooit rechtstreeks op het internet. Wie dat niet intern kan opvolgen, laat het best door een partner bewaken.

Wat betekent dit voor jou?

  • Draai je een eigen VeloCloud Orchestrator? Update naar 5.2.3.18, 6.1.3.10 of 6.4.2.12.
  • Eerdere patches beschermen niet tegen dit lek.
  • Beperk de toegang en ruim oude accounts op.

Wil je weten of je netwerkbeheer veilig staat? Neem contact op met CyberNinja en we bekijken samen je blootstelling.

Bronnen

Beeldverantwoording

  • hero.webp - CyberNinja.be, eigen werk