Arista corrige en urgence un zero-day critique sur VeloCloud Orchestrator

Arista Networks a publié le 22 octobre des mises à jour de sécurité critiques pour corriger une vulnérabilité zero-day activement exploitée dans VeloCloud Orchestrator (VCO), la console de gestion centrale des réseaux SD-WAN VeloCloud. Identifiée sous la référence CVE-2026-114625, cette faille d’injection SQL permet à tout utilisateur authentifié, même doté de droits en lecture seule, d’élever ses privilèges au niveau opérateur, le niveau de contrôle le plus élevé sur l’orchestrateur.

Le VeloCloud Orchestrator est l’interface d’administration web qui permet de configurer, surveiller et gérer les réseaux SD-WAN VeloCloud ainsi que les équipements de bord associés. Une compromission de cet orchestrateur donne à l’attaquant la mainmise sur l’ensemble de l’infrastructure réseau gérée.

Selon l’avis de sécurité d’Arista, la vulnérabilité réside dans une injection SQL à faible complexité ne nécessitant aucune interaction utilisateur. « Tout utilisateur authentifié peut obtenir les privilèges d’opérateur et se faire passer pour un « superutilisateur opérateur » local », précise l’éditeur. Cela inclut l’accès à des fonctionnalités destinées à un usage interne uniquement et non conçues pour être accessibles à distance. L’exploitation réussie compromet la confidentialité, l’intégrité et la disponibilité de l’orchestrateur et des données qu’il gère.

Arista indique avoir déjà corrigé les déploiements VCO hébergés (cloud) dans les versions 5.2.3.18 et ultérieures, 6.1.3.10 et ultérieures, et 6.4.2.12 et ultérieures. Les clients utilisant des déploiements sur site (on-premises) doivent appliquer les correctifs correspondants sans délai. La faille a été découverte en cours d’exploitation active, ce qui justifie la qualification de zero-day et l’urgence du déploiement des rustines.

Cette vulnérabilité souligne les risques inhérents aux interfaces de gestion centralisée : un point de contrôle unique devient une cible de choix pour les attaquants. Les administrateurs réseau sont vivement encouragés à vérifier leur version de VCO et à appliquer les mises à jour immédiatement.

Sources : The Hacker News, BleepingComputer