Cảnh báo: Lỗ hổng Command Injection nghiêm trọng trên Arista VeloCloud Orchestrator đang bị khai thác

Các phiên bản on-premises của Arista VeloCloud Orchestrator (VCO) đang đối mặt với một lỗ hổng bảo mật nghiêm trọng, được xác định là CVE-2026-16812. Với điểm số CVSS đạt mức tối đa 10.0, lỗ hổng này cho phép kẻ tấn công thực hiện kỹ thuật command injection, từ đó dẫn đến khả năng thực thi mã từ xa (RCE) trên hệ thống.

Chi tiết về lỗ hổng

Theo Arista, lỗ hổng này xuất phát từ một chức năng nội bộ không được thiết kế để truy cập từ xa, nhưng lại bị kẻ tấn công lợi dụng để chiếm quyền truy cập vào các tính năng đặc quyền. Việc khai thác thành công có thể làm tổn hại đến tính bảo mật, toàn vẹn và sẵn sàng của hệ thống orchestrator cũng như dữ liệu mà nó quản lý.

Các phiên bản bị ảnh hưởng bao gồm:

• VCO 5.2.x (trước phiên bản 5.2.3.14)
• VCO 6.1.x (trước phiên bản 6.1.3.4)
• VCO 6.4.x (trước phiên bản 6.4.2.4)
• VCO 7.0.x (trước phiên bản 7.0.0.1)

Khuyến nghị từ nhà sản xuất

Arista đã xác nhận lỗ hổng này đang bị khai thác trong thực tế. Mặc dù công ty chưa công bố chi tiết về quy mô ảnh hưởng, họ đã cung cấp danh sách các địa chỉ IP độc hại cần chặn ngay lập tức:

• 8.19.75.217
• 206.72.242.124
• 206.72.242.162

Trong trường hợp chưa thể cập nhật bản vá ngay lập tức, các quản trị viên được khuyến cáo:

• Hạn chế quyền truy cập vào giao diện web của VCO, chỉ cho phép từ các mạng quản trị tin cậy.
• Giám sát chặt chẽ các log truy cập và các kết nối outbound bất thường từ server VCO.
• Kiểm tra lại các hoạt động của tài khoản quản trị để phát hiện các thay đổi trái phép.

Cơ quan An ninh mạng và Cơ sở hạ tầng Hoa Kỳ (CISA) đã bổ sung CVE-2026-16812 vào danh mục Known Exploited Vulnerabilities (KEV), yêu cầu các cơ quan liên bang phải hoàn tất việc vá lỗi trước ngày 30/7/2026. Các tổ chức doanh nghiệp cũng nên ưu tiên thực hiện cập nhật sớm nhất có thể để tránh nguy cơ bị chiếm quyền điều khiển thiết bị VeloCloud Edge.

Nguồn tham khảo: The Hacker News