Tento report byl přeložen pomocí AI; překlad zatím nikdo nezkontroloval. Původní jazyk: slovenština.
[TLP:CLEAR] Arista opravuje aktivně zneužívanou zranitelnost
Arista opravuje kritickou aktivně zneužívanou zranitelnost v produktu VeloCloud Orchestrator (VCO) On-Prem, řešení pro centrální správu SD-WAN infrastruktury. Opraveny jsou zatím pouze trainy 5.2 (verzí 5.2.3.16) a 6.4 (verzí 6.4.2.8). Pro trainy 6.1 a 7.0 opravy zatím nevyšly. Hostované a dedikované instance VCO Arista opravila již dříve [1].
Neautentizovanému vzdálenému útočníkovi je v důsledku nedostatečné validace vstupu umožněno přistupovat k privilegované interní funkcionalitě a převzít kontrolu nad hostitelem VeloCloud Orchestrator a následně i nad spravovanými zařízeními VeloCloud Edge. Zranitelná jsou pouze nasazení, kde se zařízení VeloCloud Edge vůči orchestrátoru autentizují certifikátem, přičemž útočník potřebuje jeho veřejnou část. Zranitelnost je již aktivně zneužívána [1].
Zranitelnost se nachází v produktu:
- VeloCloud Orchestrator; >=5.2.0, <5.2.3.16; >=6.1.0, <=6.1.3.7; >=6.4.0, <6.4.2.8; >=7.0.0, <=7.0.0.2
CVSS: CVSS:4.0/AV:N/AC:H/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H
Více informací:
- CVE-2026-93952 na cve.org, NVD
- CWE-20: Improper Input Validation na cwe.mitre.org
Zranitelnost byla veřejně oznámena 22. 9. 2026.
Odkazy
Za CESNET, z.s.p.o. Henrieta Paločková dne 23. 9. 2026.