Tento report bol preložený pomocou AI; preklad zatiaľ nikto neskontroloval. Pôvodný jazyk: čeština.

[TLP:CLEAR] Arista opravuje aktívne zneužívanú zraniteľnosť

Arista verziami 5.2.3.14, 6.1.3.4 a 6.4.2.4 opravuje dve kritické a jednu vysoko závažnú zraniteľnosť v produkte VeloCloud Orchestrator (VCO) On-Prem. Ak nie je okamžitá aktualizácia na opravenú verziu možná, je možné riziko dočasne mitigovať obmedzením prístupu k webovému rozhraniu VCO iba na dôveryhodné siete. Zároveň sa odporúča sledovať neobvyklú sieťovú prevádzku a nedávnu aktivitu administrátorov. [1][2]

Arista - vykonanie príkazov OS (CVE-2026-16812)
CVSS 10.0 (Critical)

Neautentizovanému vzdialenému útočníkovi je cez webové rozhranie VCO umožnené neoprávnene pristupovať k privilegovanej internej funkcionalite a spúšťať ľubovoľné príkazy na úrovni operačného systému a potenciálne tak získať plnú kontrolu nad orchestrátorom, spravovanými dátami aj prístup k pripojeným zariadeniam VeloCloud Edge [1]. Zraniteľnosť je už aktívne zneužívaná a bola zaradená do katalógu CISA KEV [3]. Boli k nej zverejnené IoC a v prípade kompromitácie sa odporúča rotácia hesiel, kontrola spravovaných zariadení a obnova orchestrátora z dôveryhodnej zálohy [1].

Zraniteľnosť sa nachádza v produkte:

  • VeloCloud Orchestrator On-Prem; >=5.2.0, <5.2.3.14; >=6.1.0, <6.1.3.4; >=6.4.0, <6.4.2.4; >=7.0.0, <7.0.0.1;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

IOC: 8.19.75.217, 206.72.242.124, 206.72.242.162

Viac informácií:

  • CVE-2026-16812 na cve.org, NVD
  • CWE-78: Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 27. 7. 2026.

Arista - SQLi, SSRF (CVE-2026 -17191)
CVSS 9.1 (Critical)

Autentizovanému vzdialenému útočníkovi s privilégiami Enterprise Read Only a vyššími je v API metrikách umožnené vykonať SQLi a potenciálne uskutočniť útok SSRF [2].

Zraniteľnosť sa nachádza v produkte:

  • VeloCloud Orchestrator On-Prem; >=5.2.0, <5.2.3.14; >=6.1.0, <6.1.3.4; >=6.4.0, <6.4.2.4;

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:L/A:L

Viac informácií:

  • CVE-2026-17191 na cve.org, NVD
  • CWE-89: Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 27. 7. 2026.

Arista - SSRF (CVE-2026-17192)
CVSS 8.5 (High)

Autentizovanému vzdialenému útočníkovi s privilégiami Enterprise Standard Admin a vyššími je umožnené zasielať požiadavky v mene iných autentizovaných účtov na inak neprístupné služby [2].

Zraniteľnosť sa nachádza v produkte:

  • VeloCloud Orchestrator On-Prem; >=5.2.0, <5.2.3.14; >=6.1.0, <6.1.3.4; >=6.4.0, <6.4.2.4;

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:L/A:N

Viac informácií:

Zraniteľnosť bola verejne oznámená 27. 7. 2026.

Za CESNET, z.s.p.o. Táňa Macháčková dňa 28. 7. 2026.

CESNET, z.s.p.o. Logo