Arista 警告 VeloCloud 严重 SQL 注入零日漏洞已被利用攻击

Arista 在 10 月 22 日的公告中表示，攻击者正在利用 VeloCloud Orchestrator（VCO）中的一个零日 SQL 注入漏洞——VCO 是 VeloCloud SD-WAN 网络的集中管理系统。

该漏洞允许任何能登录编排器的人（即使使用只读客户账户）获得 operator 权限，即对其最高级别的控制权。

对于本地部署的编排器，修复位于 VCO 5.2.3.18、6.1.3.10 和 6.4.2.12 中，而托管型和专用型编排器已完成修补。

该漏洞被追踪为 CVE-2026-114625，在 CVSS 评分中被评为 9.9 分。运行修复了 7 月和 9 月被利用的 VCO 漏洞的版本的编排器仍受影响，因为这些版本早于新的修复。

Arista 从 Broadcom 收购了 VeloCloud SD-WAN 产品线，于 2025 年 7 月宣布该交易。这些产品此前被称为 VMware SD-WAN by VeloCloud。

要利用该漏洞，攻击者需要访问编排器 Web 界面的网络访问权限和有效登录。最低角色为 Enterprise Read Only，即客户用户最低的内置角色。VCO 默认暴露，且没有任何 VCO 设置能阻止这种暴露。

在 VCO 中，operator 创建客户和合作伙伴账户，每个合作伙伴可管理一组客户。该漏洞允许攻击者充当本地超级用户——一个拥有完全访问权限的角色。它还可能允许攻击者影响 VCO 主机本身，并暴露、修改或破坏编排器及其管理的数据。

公告未说明攻击何时开始、哪些编排器被击中，或攻击者在利用漏洞后做了什么。

这个新漏洞是自 7 月底以来 Arista 报告已被利用的 VCO 第三个漏洞，也是三者中第一个需要登录的漏洞。7 月的漏洞（CVE-2026-16812）和 9 月的漏洞（CVE-2026-93952）均不需要登录。

受影响与已修复版本

每个受影响发布分支都有自己的修复，此处与同一分支上修复 9 月漏洞的版本并列展示。

VeloCloud Gateway 和 VeloCloud Edge 不受影响。7.0 发布分支不在列表中，Arista 表示任何不在列表中的版本都不易受攻击。

Arista 未检查已达到支持终止的版本。使用不受支持发布分支的客户可联系 Arista 技术支持中心（TAC）了解升级选项。

截至 10 月 22 日，9 月的漏洞仅在 5.2 和 6.4 分支中修复。在 6.1 上，它影响至 6.1.3.7 的版本，且未列出修复版本。两份公告均未说明 6.1.3.10 是否也修复了 9 月的漏洞。

如果暂时无法升级

在安装修复版本之前，Arista 建议采取以下步骤：

• 将 VCO Web 界面的访问限制在受信任的管理网络。
• 监控 VCO 是否存在来自已知恶意 IP 地址的连接。
• 留意 VCO 主机异常的出站网络活动。
• 考虑阻止正常运营不需要的出站端口。
• 留意后门守护进程和 Web Shell。
• 审查最近的管理员活动，查找意外更改。

检查是否遭入侵

据 Arista 称，已观察到两个 IP 地址实施攻击。请阻止它们并检查日志中是否有任何迹象：

• IP：74.82.197[.]86
• IP：38.54.50[.]151

同时检查 VCO Web 访问日志中是否存在带有异常类 URL 路径组件、编码字符、引用本地或内部服务或请求频率过高的请求。

如果您怀疑遭到入侵，请尽可能在修复任何内容之前保存证据。这包括 VCO Web 访问、后端应用、系统和数据库日志，以及相关的文件系统时间戳。

关于 7 月和 9 月的漏洞，Arista 警告称，被攻陷的编排器还可能让攻击者访问 VeloCloud Edge 设备。对于此漏洞，公告未说明该风险是否适用，也未说明升级是否会移除攻击者已获得的访问权限。