פרצת יום אפס שלישית בתוך ארבעה חודשים ב-VeloCloud Orchestrator של Arista, והיא כבר מנוצלת
Arista תיקנה ב-22 באוקטובר חולשת SQL injection בציון 9.9 בממשק הניהול של רשתות ה-SD-WAN שלה. כל משתמש מחובר, גם בהרשאת קריאה בלבד, יכול להפוך למפעיל על. מי שמריץ התקנה מקומית צריך לעדכן ידנית.
TL;DR בקצרה
- החולשה CVE-2026-114625 קיבלה ציון 9.9 ומאפשרת לכל משתמש מאומת לקבל הרשאות מפעיל על ב-VeloCloud Orchestrator.
- Arista זיהתה ניצול פעיל, וזו פרצת יום האפס השלישית במוצר מאז יולי.
- הגרסאות המתוקנות הן 5.2.3.18, 6.1.3.10 ו-6.4.2.12. השירות המנוהל בענן כבר עודכן.
- החברה פרסמה שתי כתובות IP של התוקפים, וממליצה לשמור יומנים לפני התיקון אם יש חשד לפריצה.
Arista פרסמה ב-22 באוקטובר עדכון לחולשה קריטית ב-VeloCloud Orchestrator, ולפי החברה תוקפים כבר מנצלים אותה. החולשה, CVE-2026-114625, קיבלה ציון 9.9 מתוך 10. זו פרצת יום האפס השלישית שהחברה מתקנת במוצר בתוך ארבעה חודשים. פרצת יום אפס היא חולשה שתוקפים מנצלים לפני שיש לה תיקון, או ממש עם צאתו.
VeloCloud Orchestrator, או VCO, הוא מערכת הניהול המרכזית של פתרון ה-SD-WAN של Arista. SD-WAN מחבר סניפים, משרדים ומרכזי נתונים לרשת אחת. ממנו מנהלים את ההגדרות של כל הסניפים. לכן שליטה ב-VCO פירושה שליטה ברשת של הארגון כולו.
מה מאפשרת החולשה ב-VeloCloud Orchestrator
לפי הודעת האבטחה של Arista, זו חולשת SQL injection, כלומר הזרקת פקודות למסד הנתונים. כל משתמש מאומת יכול לקבל הרשאות מפעיל ולהתחזות לחשבון מקומי של ״מפעיל על״. כך הוא מגיע לפונקציות שנועדו לשימוש פנימי בלבד.
התוקף צריך גישה לממשק הווב של VCO והתחברות תקפה. אבל ההרשאה המינימלית היא הנמוכה ביותר שיש, קריאה בלבד ברמת הלקוח. Arista מדגישה ש-VCO חשוף כברירת מחדל, ו״אין הגדרה שיכולה למנוע את החשיפה״. כלומר, כל חשבון של עובד או של ספק חיצוני מספיק לתוקף.
זו הנקודה הרגישה. ב-VCO יכולים להיות גם משתמשים של ספקי תקשורת, של אינטגרטורים ושל עובדים לשעבר. כל אחד מהם, או מי שגנב את הסיסמה שלו, יכול לנצל את הפרצה. לכן התיקון הוא רק חצי מהעבודה. צריך גם לדעת מי מחזיק חשבון במערכת.
הבעיה חלה על ההתקנות המקומיות (On-Prem). לפי Arista, גם השירות המנוהל בענן היה פגיע, אבל החברה כבר סגרה בו את הפרצה. לקוחות השירות המנוהל לא צריכים לעשות דבר.
שלוש פרצות ב-VeloCloud Orchestrator מאז יולי
לפי SecurityWeek, ביולי Arista סגרה את CVE-2026-16812, ובספטמבר את CVE-2026-93952. גם אותן תוקפים ניצלו לפני התיקון. שלוש חולשות כאלה במוצר אחד בתוך ארבעה חודשים הן סימן שתוקפים מתמקדים בו.
Arista פרסמה שתי כתובות IP שמהן הגיעו התקיפות: 74.82.197.86 ו-38.54.50.151. היא לא פירטה ממתי התקיפות נמשכות, או כמה לקוחות נפרצו. על שרתי ניהול רשת כאלה לרוב אין כלי הגנה רגילים לתחנות קצה. לכן תוקף שמשתלט עליהם יכול להישאר בפנים זמן רב.
מה זה אומר עבורכם
- עדכנו מיד: בהתקנה מקומית, עברו לגרסה 5.2.3.18, 6.1.3.10 או 6.4.2.12 ומעלה, לפי הענף שלכם. גרסה שכבר לא נתמכת דורשת פנייה לתמיכה של Arista.
- שמרו ראיות לפני התיקון: אם יש חשד, שמרו את יומני הווב, האפליקציה, המערכת ומסד הנתונים. שמרו גם את חותמות הזמן של הקבצים.
- חסמו ובדקו: חסמו את שתי כתובות ה-IP וחפשו אותן ביומנים. חפשו גם בקשות בקצב חריג, קידוד חשוד של תווים ונתיבים שמפנים לשירותים פנימיים.
- צמצמו גישה: אפשרו גישה לממשק רק מרשתות ניהול מהימנות. חסמו יציאות לאינטרנט שהשרת לא צריך.
- נקו משתמשים: מחקו חשבונות של עובדים לשעבר ושל ספקים שסיימו לעבוד איתכם. הפעילו אימות דו-שלבי אם המערכת שלכם מאפשרת זאת.
- בדקו חשבונות: חפשו פעילות חריגה של חשבון מפעיל העל ושינויי הגדרות אחרונים. בדקו גם אם הופיעו תהליכים, קבצים או webshell לא מוכרים בשרת.
מקורות והרחבה
- Security Advisory 0199Arista
- Attackers Exploit Third VeloCloud Orchestrator Zero-Day in Four MonthsSecurityWeek
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
