Arista cảnh báo lỗ hổng SQL Injection zero-day nghiêm trọng trên VeloCloud đang bị khai thác

Arista Networks vừa đưa ra cảnh báo khẩn cấp về một lỗ hổng SQL Injection dạng zero-day đang bị khai thác trong thực tế trên hệ thống VeloCloud Orchestrator (VCO) – nền tảng quản lý trung tâm cho các mạng SD-WAN của hãng.

Lỗ hổng này được định danh là CVE-2026-114625 với điểm số CVSS lên tới 9.9. Điểm nguy hiểm của lỗ hổng này là nó cho phép bất kỳ người dùng nào có quyền truy cập vào orchestrator (kể cả tài khoản có quyền ‘read-only’) có thể leo thang lên đặc quyền ‘operator’ – cấp độ quản trị cao nhất của hệ thống.

Chi tiết về lỗ hổng và phạm vi ảnh hưởng

Để khai thác thành công, kẻ tấn công cần có quyền truy cập mạng vào giao diện web của orchestrator và một tài khoản đăng nhập hợp lệ. Sau khi chiếm quyền, kẻ tấn công có thể can thiệp vào máy chủ VCO, làm lộ lọt dữ liệu hoặc phá hoại cấu trúc mạng được quản lý.

Arista xác nhận các phiên bản sau đây cần được cập nhật ngay lập tức:

• VCO 5.2: Cập nhật lên 5.2.3.18 hoặc mới hơn.
• VCO 6.1: Cập nhật lên 6.1.3.10 hoặc mới hơn.
• VCO 6.4: Cập nhật lên 6.4.2.12 hoặc mới hơn.

Đối với các hệ thống Hosted và Dedicated, Arista cho biết đã thực hiện vá lỗi phía máy chủ. Các thiết bị VeloCloud Gateway và VeloCloud Edge không bị ảnh hưởng bởi lỗ hổng này.

Khuyến nghị từ nhà sản xuất

Trong trường hợp chưa thể thực hiện nâng cấp ngay, Arista khuyến cáo quản trị viên thực hiện các biện pháp tạm thời sau:

• Giới hạn quyền truy cập vào giao diện web của VCO, chỉ cho phép truy cập từ các dải mạng quản trị tin cậy.
• Giám sát chặt chẽ các kết nối từ các địa chỉ IP đáng ngờ, đặc biệt là hai IP được ghi nhận có hoạt động tấn công: 74.82.197.86 và 38.54.50.151.
• Theo dõi các hoạt động mạng bất thường từ máy chủ VCO và kiểm tra nhật ký (log) để phát hiện các dấu hiệu của webshell hoặc backdoor.
• Rà soát lại các thay đổi trong tài khoản quản trị viên gần đây.

Đây là lỗ hổng thứ ba liên quan đến VCO bị khai thác trong thời gian gần đây. Arista cũng lưu ý rằng các khách hàng đang sử dụng các phiên bản đã hết hạn hỗ trợ (end-of-support) nên liên hệ trực tiếp với Trung tâm Hỗ trợ Kỹ thuật (TAC) của hãng để có phương án xử lý an toàn.

Nguồn tham khảo: The Hacker News