Arista Networks ha lanzado actualizaciones para corregir una vulnerabilidad de gravedad crítica en VeloCloud Orchestrator (VCO), su plataforma de orquestación SD‑WAN. La compañía indica que se trata de una inyección SQL explotable de forma remota que permite a un atacante con sesión autenticada obtener privilegios de operador y ejecutar funcionalidades internas que no deberían ser accesibles desde la interfaz web.
Qué permite la vulnerabilidad y a quién afecta
Según el aviso de Arista, la falla permite a cualquier usuario autenticado en un sistema afectado adquirir privilegios de operador “superuser” y suplantar a ese rol local. Esto abre la puerta al acceso y manipulación de datos gestionados por VCO y a operaciones reservadas para uso interno del producto. La explotación puede comprometer la confidencialidad, integridad y disponibilidad tanto del propio VCO como de la información que administra.
Todas las versiones de VCO anteriores a las releases corregidas (mencionadas por Arista) están afectadas, y la compañía confirma que las instancias hospedadas ya fueron parchadas. El aviso subraya que las implementaciones on‑premise expuestas por defecto requieren atención urgente por parte de los administradores.
Condiciones para la explotación y señales de compromiso
La explotación remota exige acceso a la interfaz web de VCO y una sesión autenticada —incluso con el rol mínimo de inquilino—, por lo que no es suficiente con estar expuesto: el atacante necesita credenciales válidas o habilitar una sesión autenticada (por ejemplo mediante credenciales robadas o reutilizadas).
Arista indica además que se han observado ataques procedentes de dos direcciones IP concretas y recomienda bloquearlas y revisar registros. Entre los indicadores a buscar en los logs están tasas inusuales de peticiones, rutas con componentes parecidos a URL codificadas, uso de caracteres codificados y referencias a servicios locales o internos.
Recomendaciones prácticas para administradores
- Actualizar: la solución recomendada es aplicar las versiones corregidas de VCO en las instalaciones on‑premise lo antes posible. Arista ya parcheó sus despliegues hospedados.
- Reducir exposición: hasta que se aplique el parche, restringir el acceso a la interfaz web de VCO mediante controles de red (VPN, listas de control de acceso, firewalls) y minimizar el número de usuarios con acceso externo.
- Revisar actividad administrativa: auditar cambios recientes en cuentas y configuraciones, buscar accesos sospechosos y preservar logs web, de aplicación, sistema, base de datos y marcas temporales relevantes si se sospecha compromiso.
- Bloquear IPs y monitorizar tráfico: bloquear las direcciones identificadas por Arista y monitorizar peticiones con patrones inusuales, especialmente aquellas con cadenas codificadas o referencias a servicios internos.
- Buscar señales de post‑explotación: monitorizar procesos persistentes, demonios anómalos, webshells y conexiones salientes inusuales que puedan indicar compromiso posterior.
Contexto: tercer zero‑day en meses
Arista califica esta vulnerabilidad como detectada por la propia compañía y en estado de explotación activa. Es el tercer zero‑day que corrige en VCO en el último periodo de cuatro meses, tras dos correcciones previas que también afectaron al producto. Este patrón subraya la necesidad de que los operadores de redes con VCO mantengan procedimientos rápidos de mitigación y despliegue de parches para reducir la ventana de exposición.
Nota: si se sospecha de una intrusión, preserve los registros antes de cualquier modificación o limpieza para permitir una investigación forense.
Lee también:
- Google aclara que datos de Gmail y Photos usados por funciones de IA pueden influir en la publicidad personalizada
- Cómo proteger NetScaler Gateway y otras páginas de inicio de sesión tras la explotación de CVE-2026-88771
Fuente: SecurityWeek
