مهاجمان در حال سوءاستفاده از یک آسیب‌پذیری روز صفر از نوع تزریق SQL در VeloCloud Orchestrator (VCO) متعلق به شرکت Arista هستند؛ سامانه مدیریت مرکزی شبکه‌های VeloCloud SD-WAN. شرکت Arista این موضوع را در یک اطلاعیه امنیتی در 22 اکتبر اعلام کرد.
این نقص اجازه می‌دهد هر کسی که بتواند به Orchestrator VCO وارد شود، حتی با یک حساب مشتری Read Only، امتیاز Operator به‌دست آورد. این نقش بالاترین سطح کنترل بر Orchestrator VCO است.
برای نمونه‌های مستقر در محل از Orchestrator VCO، اصلاح در نسخه‌های VCO 5.2.3.18، 6.1.3.10 و 6.4.2.12 ارائه شده است. نمونه‌های Hosted و همچنین نمونه‌های Dedicated از Orchestrator VCO از پیش پچ شده‌اند.
این نقص با شناسه CVE-2026-114625 پیگیری می‌شود و در مقیاس CVSS امتیاز 9.9 دارد. نمونه‌های Orchestrator VCO که نسخه‌های برطرف‌کننده نقص‌های بهره‌برداری‌شده در ژوئیه و سپتامبر را اجرا می‌کنند همچنان آسیب‌پذیر هستند، زیرا آن نسخه‌ها قدیمی‌تر از اصلاحات تازه‌اند.
شرکت Arista خط محصول VeloCloud SD-WAN را از شرکت Broadcom خرید و این معامله را در ژوئیه 2025 اعلام کرد. این محصولات پیش‌تر با نام VMware SD-WAN by VeloCloud شناخته می‌شدند.
برای سوءاستفاده از این نقص، مهاجم به دسترسی شبکه‌ای به رابط وب Orchestrator و یک ورود معتبر نیاز دارد. حداقل نقش موردنیاز Enterprise Read Only است؛ این پایین‌ترین نقش داخلی برای کاربران مشتری محسوب می‌شود. به‌صورت پیش‌فرض، VCO در معرض دسترسی است و هیچ تنظیمی در VCO مانع این در معرض‌بودن نمی‌شود.
در VCO، کاربران با نقش Operator حساب‌های مشتری و شریک را ایجاد می‌کنند و هر شریک می‌تواند گروهی از مشتریان را مدیریت کند. این نقص به مهاجم امکان می‌دهد مانند یک ابرکاربر محلی عمل کند؛ نقشی با دسترسی کامل. همچنین ممکن است به مهاجم اجازه دهد خودِ میزبان VCO را تحت تأثیر قرار دهد و Orchestrator و داده‌هایی را که مدیریت می‌کند افشا کند، تغییر دهد یا مختل سازد.
این اطلاعیه مشخص نکرده است حملات از چه زمانی آغاز شده، کدام نمونه‌های Orchestrator VCO هدف قرار گرفتند یا مهاجمان پس از سوءاستفاده چه اقداماتی انجام داده‌اند.
این نقص جدید سومین نقص در VCO از اواخر ژوئیه است که شرکت Arista بهره‌برداری از آن را گزارش داده و نخستین مورد از این سه است که به ورود نیاز دارد. نه نقص ماه ژوئیه (CVE-2026-16812) و نه نقص ماه سپتامبر (CVE-2026-93952) به ورود نیاز نداشتند.
نسخه‌های آسیب‌دیده و اصلاح‌شده
هر شاخه انتشارِ آسیب‌دیده، اصلاح مختص خود را دارد که در اینجا در کنار نسخه‌ای که نقص ماه سپتامبر را در همان شاخه برطرف کرده، نشان داده شده است.
| شاخه انتشار | تحت تأثیر CVE-2026-114625 | اصلاح‌شده در | CVE-2026-93952 (سپتامبر) اصلاح‌شده در |
|---|---|---|---|
| شاخه 5.2 | پیش از 5.2.3.18 | از 5.2.3.18 به بعد | 5.2.3.16 |
| شاخه 6.1 | پیش از 6.1.3.10 | از 6.1.3.10 به بعد | اصلاحی اعلام نشده است |
| شاخه 6.4 | پیش از 6.4.2.12 | از 6.4.2.12 به بعد | 6.4.2.8 |
محصولات VeloCloud Gateway و VeloCloud Edge تحت تأثیر نیستند. شاخه 7.0 در این فهرست نیامده است، و شرکت Arista اعلام کرده است هر شاخه‌ای که در فهرست نیامده باشد آسیب‌پذیر نیست.
شرکت Arista نسخه‌هایی را که به پایان پشتیبانی رسیده‌اند بررسی نکرده است. مشتریانی که روی شاخه‌ای خارج از پشتیبانی هستند می‌توانند درباره گزینه‌های ارتقا با مرکز پشتیبانی فنی شرکت Arista (TAC) تماس بگیرند.
تا 22 اکتبر، نقص سپتامبر تنها در شاخه‌های 5.2 و 6.4 اصلاح شده است. در شاخه 6.1، این نقص تا نسخه 6.1.3.7 را دربر می‌گیرد و نسخه اصلاح‌شده‌ای اعلام نشده است. هیچ‌یک از اطلاعیه‌ها مشخص نکرده‌اند که آیا 6.1.3.10 نیز نقص سپتامبر را برطرف می‌کند یا نه.
اگر هنوز نمی‌توانید به‌روزرسانی کنید
تا زمانی که نسخه اصلاح‌شده نصب نشده است، شرکت Arista این اقدامات را توصیه می‌کند:
- دسترسی به رابط وب VCO را به شبکه‌های مدیریتی مورد اعتماد محدود کنید.
- اتصالات به VCO را برای آدرس‌های IP مخرب شناخته‌شده پایش کنید.
- فعالیت خروجی شبکه غیرمنتظره از میزبان VCO را پایش کنید.
- مسدود کردن درگاه‌های خروجی‌ای را که در عملکرد عادی نیاز نیست مدنظر قرار دهید.
- فرآیندهای سیستمی backdoor و وب‌شل‌ها را پایش کنید.
- فعالیت اخیر مدیران را برای تغییرات غیرمنتظره بازبینی کنید.
بررسی به‌خطر افتادن
به گفته شرکت Arista، دو آدرس IP در اجرای این حملات مشاهده شده‌اند. آنها را مسدود کنید و لاگ‌ها را برای هر نشانی از آنها بررسی کنید:
- نشانی IP: 74.82.197[.]86
- نشانی IP: 38.54.50[.]151
همچنین لاگ‌های دسترسی وب VCO را برای درخواست‌هایی با مؤلفه‌های مسیر شبیه به URL، نویسه‌های کدگذاری‌شده، ارجاع به سرویس‌های محلی یا داخلی، یا نرخ بالای درخواست بررسی کنید.
اگر به به‌خطر افتادن مشکوک هستید، در صورت امکان پیش از هرگونه اصلاح، شواهد را حفظ کنید. این موارد شامل لاگ‌های دسترسی وب VCO، لاگ‌های برنامه backend، سیستم و پایگاه‌داده، به‌همراه برچسب‌های زمانی مرتبط در فایل‌سیستم است.
درباره نقص‌های ژوئیه و سپتامبر، شرکت Arista هشدار داده بود که در صورت به‌خطر افتادن Orchestrator، ممکن است دسترسی به تجهیزات VeloCloud Edge نیز در اختیار مهاجمان قرار گیرد. درباره این نقص، اطلاعیه مشخص نکرده است که آیا این خطر نیز وجود دارد یا اینکه آیا ارتقا دسترسی‌ای را که مهاجم پیش‌تر به‌دست آورده است برمی‌دارد یا نه.
