Arista 修复遭攻击利用的 VeloCloud Orchestrator 零日漏洞

Arista 已修复本地部署 VeloCloud Orchestrator 中一个最高严重级别的命令注入漏洞，该漏洞正在被积极利用于攻击中。
该漏洞编号为 CVE-2026-16812，是一个未经身份验证的 OS 命令注入漏洞，严重性评分为 10.0，这是漏洞可获得的最高评分。
VeloCloud Orchestrator（简称 VCO）是一个集中管理平台，用于配置、监控和管理 VeloCloud SD-WAN 部署及相关的边缘设备。
根据 Arista 周一发布的安全公告，该漏洞允许远程攻击者访问本应仅供内部使用且不应远程访问的特权功能。
"成功利用可能会损害 orchestrator 及其所管理数据的机密性、完整性和可用性，"Arista 警告称。
该公司表示，VCO 默认情况下应该暴露，且没有配置选项可以阻止这种暴露。攻击者只需网络访问 VCO Web 界面即可，无需任何 VCO 租户或操作员凭据即可利用该漏洞。
Arista 表示 CVE-2026-16812 是由外部发现的，并已知被积极利用，但未透露攻击何时开始、幕后黑手是谁，以及该漏洞是如何被利用的。BleepingComputer 已就这些问题联系了该公司。
以下 VeloCloud Orchestrator 本地部署版本受到影响：

• VCO 5.2.x 版本，低于 5.2.3.14
• VCO 6.1.x 版本，低于 6.1.3.4
• VCO 6.4.x 版本，低于 6.4.2.4
• VCO 7.0.x 版本，低于 7.0.0.1

VeloCloud Orchestrator Hosted 和 Dedicated 部署已在公告发布前完成修复，不受影响。VeloCloud Gateway 和 VeloCloud Edge 产品也不受该漏洞影响。
该公司表示，该漏洞已在 VCO 版本 5.2.3.14、6.1.3.4 和 6.4.2.4 及更高版本中修复。受影响的软件列表还表明，VCO 7.0.0.1 及更高版本不受影响。
Arista 警告称，尚未评估已停止支持的软件版本是否存在漏洞。运行不受支持版本分支的客户建议联系 Arista 技术支持中心，讨论可用的升级选项。
美国网络安全和基础设施安全局（CISA）也已将 CVE-2026-16812 添加到其已知被利用漏洞目录中，确认该漏洞正被用于攻击。
CISA 已命令美国联邦民事行政分支机构在 2026 年 7 月 30 日（星期四）之前修复该漏洞，这是《约束性操作指令 22-01》的要求。
入侵指标
在部署补丁期间，管理员应将 VCO Web 界面的访问限制在管理网络内，监控来自已知恶意 IP 地址的连接，并审查近期管理员活动是否存在异常变更。
Arista 分享了三个被观测到利用该漏洞的 IP 地址：

• 8.19.75.217
• 206.72.242.124
• 206.72.242.162

建议管理员阻止这些 IP 地址，并审查日志中是否存在先前的连接记录。然而，设备也可能从其他 IP 被入侵，因此此列表并非绝对。
组织应审查 VCO 日志中是否存在被利用的迹象，包括：

• 包含编码字符、类似 URL 的路径组件、指向本地或内部服务的引用，或异常高请求率的异常 Web 请求
• 来自已知恶意 IP 地址的连接
• 来自 VCO 主机的意外出站 HTTP 或 HTTPS 流量
• 未经授权的配置更改或特权维护活动
• 意外的命令执行、文件创建、数据库导出或归档文件
• 对 VCO 数据库、配置数据、设备清单、凭据、证书或加密密钥的可疑访问

如果怀疑已被入侵，组织应在修复前保留所有日志和文件系统时间戳。
可能受影响的组织应轮换凭据、审查管理员活动、验证受管设备，并考虑恢复或替换已被入侵的实例。
由于成功利用可能同时危及 orchestrator 主机及其管理的数据，对于已被攻破的系统，仅安装安全更新可能不够。
Arista 警告称，入侵 VeloCloud Orchestrator 实例也可能使攻击者获得对 VeloCloud Edge 设备的访问权限。