[TLP:CLEAR] Arista opravuje aktívne zneužívanú zraniteľnosť
Arista opravuje kritickú aktívne zneužívanú zraniteľnosť v produkte VeloCloud Orchestrator (VCO) On-Prem, riešení na centrálnu správu SD-WAN infraštruktúry. Opravené sú zatiaľ len trainy 5.2 (verziou 5.2.3.16) a 6.4 (verziou 6.4.2.8). Pre trainy 6.1 a 7.0 opravy zatiaľ nevyšli. Hostované a dedikované inštancie VCO Arista opravila už skôr [1].
Neautentizovanému vzdialenému útočníkovi je v dôsledku nedostatočnej validácie vstupu umožnené pristupovať k privilegovanej internej funkcionalite a prevziať kontrolu nad hostiteľom VeloCloud Orchestrator a následne aj nad spravovanými zariadeniami VeloCloud Edge. Zraniteľné sú len nasadenia, kde sa zariadenia VeloCloud Edge voči orchestrátoru autentizujú certifikátom, pričom útočník potrebuje jeho verejnú časť. Zraniteľnosť je už aktívne zneužívaná [1].
Zraniteľnosť sa nachádza v produkte:
- VeloCloud Orchestrator; >=5.2.0, <5.2.3.16; >=6.1.0, <=6.1.3.7; >=6.4.0, <6.4.2.8; >=7.0.0, <=7.0.0.2
CVSS: CVSS:4.0/AV:N/AC:H/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H
Viac informácií:
- CVE-2026-93952 na cve.org, NVD
- CWE-20: Improper Input Validation na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 22. 9. 2026.
Odkazy
Za CESNET, z.s.p.o. Henrieta Paločková dňa 23. 9. 2026.