Arista VeloCloud Orchestrator'da en düşük yetkili hesapla en üst yetkiye çıkılan sıfırıncı gün açığı saldırılarda kullanılıyor

Arista, 22 Ekim’de yayımladığı 0199 numaralı güvenlik bildiriminde, VeloCloud Orchestrator’daki (VCO) bir açığın saldırılarda kullanıldığını açıkladı. VCO, kurumların şubelerini ve veri merkezlerini birbirine bağlayan VeloCloud SD-WAN ağlarının merkezi yönetim sistemi. Bu ürün grubu daha önce VMware SD-WAN by VeloCloud adıyla biliniyordu, ardından Broadcom’a geçti. Arista ürün grubunu satın aldığını Temmuz 2025’te duyurmuştu.

CVE-2026-114625 numaralı açık bir SQL injection açığı. CVSS 3.1 puanı 9.9, CVSS 4.0 puanı 9.4. Arista’ya göre açığı kendisi tespit etti ve açık “aktif olarak istismar ediliyor”. CISA da açığı 23 Ekim’de istismar edilen açıklar listesi KEV’e ekledi ve ABD federal kurumları için son tarih olarak 26 Ekim’i belirledi.

Açığın etkisi

Arista’nın bildirimine göre etkilenen bir orkestratörde giriş yapmış herhangi bir kullanıcı, operatör yetkisi alıp yerel “superuser operator” kullanıcısı gibi davranabiliyor. VCO’da operatör, müşteri ve iş ortağı hesaplarını oluşturan en üst yönetim katmanı. Bu yetkiyle, uzaktan erişilmesi hiç amaçlanmamış iç işlevlere de ulaşılabiliyor. Arista, açığın VCO’nun çalıştığı makineyi de etkileyebildiğini ve orkestratör ile yönettiği verilerin gizliliğini, bütünlüğünü ve erişilebilirliğini tehlikeye atabildiğini belirtiyor.

Saldırı için iki şey gerekiyor: VCO’nun web arayüzüne ağ üzerinden erişim ve geçerli bir oturum. Gereken en düşük rol, müşteri kullanıcıları için tanımlı en düşük yerleşik rol olan “Enterprise Read Only”. Arista, VCO’nun varsayılan olarak bu açığa açık olduğunu ve bunu önleyen bir ayar bulunmadığını söylüyor. Yani saldırganın, salt okunur da olsa geçerli bir müşteri hesabına sahip olması yetiyor.

Etkilenen ve düzeltilmiş sürümler

• VCO 5.2: 5.2.3.18 öncesi sürümler, düzeltilmiş sürüm 5.2.3.18
• VCO 6.1: 6.1.3.10 öncesi sürümler, düzeltilmiş sürüm 6.1.3.10
• VCO 6.4: 6.4.2.12 öncesi sürümler, düzeltilmiş sürüm 6.4.2.12

Açık yalnızca müşterinin kendi sunucusunda kurulu (on-premises) VCO’yu etkiliyor. Arista’nın barındırdığı Hosted ve Dedicated orkestratörler de etkilenmişti, ancak bunlar düzeltildi. VeloCloud Gateway ve VeloCloud Edge cihazları etkilenmiyor. Arista, listede olmayan sürümlerin etkilenmediğini, desteği bitmiş sürümlerin ise hiç değerlendirilmediğini belirtiyor. Desteklenmeyen bir sürüm kullananlar yükseltme seçenekleri için Arista’nın teknik destek merkezine (TAC) başvurabiliyor.

Temmuzdan bu yana istismar edilen üçüncü açık

The Hacker News’in aktardığına göre bu açık, Arista’nın temmuz sonundan bu yana VCO’da istismar edildiğini bildirdiği üçüncü açık. Temmuzdaki CVE-2026-16812 ve eylüldeki CVE-2026-93952 giriş gerektirmiyordu, yeni açık ise ilk kez geçerli bir hesap istiyor. O iki açığı kapatan sürümler yeni düzeltmelerden daha eski olduğu için, eylül güncellemesini yapmış orkestratörler de bu açıktan etkileniyor.

The Hacker News’e göre eylüldeki açık için 6.1 serisinde hâlâ düzeltilmiş bir sürüm listelenmiş değil. 6.1.3.10’un o açığı da kapatıp kapatmadığı iki bildirimde de belirtilmiyor. Arista, önceki iki açık için ele geçirilmiş bir orkestratörün saldırganlara VeloCloud Edge cihazlarına erişim de sağlayabileceği uyarısını yapmıştı. Yeni açık için böyle bir risk olup olmadığını ya da güncellemenin saldırganın önceden elde ettiği erişimi kaldırıp kaldırmadığını açıklamadı.

Önerilen önlemler

Kendi sunucusunda VCO çalıştıranlar kullandıkları seriye göre yukarıdaki düzeltilmiş sürüme hemen geçmeli. Güncelleme yapılana kadar Arista şu önlemleri öneriyor:

• VCO web arayüzüne erişimi yalnızca güvenilir yönetim ağlarıyla sınırlayın.
• VCO’ya bilinen kötü niyetli IP adreslerinden gelen erişimleri izleyin.
• VCO’nun çalıştığı makineden dışarıya beklenmedik bağlantılar olup olmadığını izleyin, normal çalışma için gerekmeyen giden portları engellemeyi değerlendirin.
• Arka kapı servisleri ve web kabukları arayın, yönetici hesaplarındaki son değişiklikleri gözden geçirin.

Arista, saldırılarda görülen iki IP adresinin engellenmesini ve kayıtlarda aranmasını öneriyor: 74.82.197[.]86 ve 38.54.50[.]151. The Hacker News’e göre iki adres de Japonya’da görünüyor. Ayrıca VCO web erişim kayıtlarında olağandışı URL benzeri yol bileşenleri, kodlanmış karakterler, yerel ya da iç servislere yapılan atıflar ve yüksek istek hızları içeren istekler incelenmeli.

Bir ele geçirmeden şüpheleniliyorsa, düzeltmeye başlamadan önce mümkün olduğunca kanıt saklanmalı: VCO web erişim kayıtları, uygulama, sistem ve veritabanı kayıtları ile ilgili dosya sistemi zaman damgaları.