Aktif olarak sömürülen VeloCloud Orchestrator SQL injection açığı, salt okunur kullanıcıları operatöre dönüştürüyor

Arista, VeloCloud SD-WAN ağlarını yapılandırmak ve izlemek için kullanılan platform olan VeloCloud Orchestrator'daki (VCO) kritik bir SQL injection açığı için yamalar yayımladı. Netics'in dev.to üzerindeki yazısına göre, CVE-2026-114625 olarak takip edilen bu açık, en düşük tenant hesabına sahip herhangi bir kullanıcının orchestrator üzerinde operatör düzeyinde kontrole yükselmesine olanak tanıyor ve Arista'nın danışma belgesi sorunun sahadaki saldırılarda aktif olarak sömürüldüğünü belirtiyor.

Danışma belgesinde neler yazıyor

22 Ekim 2026 tarihinde yayımlanan Arista Security Advisory 0199, açığı CVSS 3.1 altında 9.9 ve CVSS 4.0 altında 9.4 olarak puanlıyor, CWE-89 (SQL injection) olarak sınıflandırıyor ve iç hata tanımlayıcısı olarak BUG2043622 kaydını veriyor. Sömürü için iki şey gerekiyor: VCO web arayüzüne ağ erişimi ve portalda geçerli bir kimlik doğrulaması yapılmış oturum. Gerekli en düşük rol, yerleşik tenant rollerinin en alt düzeyi olan Enterprise Read Only.

Maruziyet tablosu alışılmadık derecede net. Arista'nın danışma belgesi, web arayüzünün varsayılan olarak açık geldiğini ve bu maruziyeti ortadan kaldıracak bir yapılandırma ayarı bulunmadığını söylüyor; bu da bir denetim listesindeki her zamanki teselli edici cevabı elendinden alıyor. Hosted ve dedicated orchestrator dağıtımları etkilenmişti ancak Arista tarafından zaten yamalandı; appliance'ı kendi hypervisor'larında çalıştıran müşteriler ise yükseltme işini kendi değişiklik süreçlerinde yapmak durumunda.

Salt okunur tenant'tan orchestrator süperkullanıcısına

Etkilenen bir sistemde, kimlik doğrulaması yapılmış herhangi bir kullanıcı operatör ayrıcalıkları kazanabilir ve yerel bir süperkullanıcı operatör gibi görünerek yalnızca dahili kullanım için tasarlanmış ve uzaktan erişilebilir olması hiç ama edilmemiş işlevlere ulaşabilir. Netics'in de belirttiği gibi, pratikte bu, tenant'lara policy'ye dokunmadan devre durumu ve envanteri kontrol etme imkânı vermek için tasarlanmış salt okunur görünüme sahip bir müşteri hesabının platformun tam bir kontrol noktasına dönüşmesi anlamına geliyor.

Orchestrator, tasarımı gereği bir yoğunlaşma noktasıdır: ağdaki her site yapılandırmasını, aralarındaki tünelleri ve bu siteleri yeniden satan ya da yöneten partnerlerin hesaplarını elinde tutar. En düşük tenant rolü bile süperkullanıcı olmak için yeterli olduğunda, orchestrator'un hesap envanteri gerçek güvenlik sınırı haline gelir ve bir projenin bitmesinden sonra bir partnerin ya da entegratörün tuttuğu her tenant girişi bu sınırın içinde yer alır.

Bir ay içinde ikinci kritik açık

Bu, aynı ürün için yaklaşık bir ay içindeki ikinci kritik danışma belgesi. 22 Eylül 2026'da yayımlanan Security Advisory 0183, hiçbir ayrıcalık gerektirmeyen bir saldırı vektörüyle CVSS 3.1 altında 10.0 ve CVSS 4.0 altında 9.5 puan alan (CWE-20) CVE-2026-93952'yi kapsıyor. Ekim ayındaki açık geçerli bir oturum gerektiriyor ancak tenant girişinden operatör haklarına ulaşıyor. Netics ayrıca bir planlama boşluğuna dikkat çekiyor: Ekim danışma belgesi, düzeltilmiş 6.1 sürümünün Eylül düzeltmesini de içerip içermediğini söylemiyor; bu nedenle bu sürüm hattındaki operatörler, yükseltmeyi tamamlanmış saymadan önce kapsamı Arista ile teyit etmeli.

Düzeltmeler ve geçici önlemler

Yamalar sürüm hatlarına göre yayımlanıyor: VCO 5.2.3.18, 6.1.3.10 ve 6.4.2.12, sonraki sürümler dahil. Destek sonu sürümleri değerlendirilmemiş olup Arista, desteklenmeyen hatlardaki operatörleri yükseltme seçenekleri için Teknik Destek Merkezi'ne yönlendiriyor.

Yükseltme penceresi planlanırken Netics iki telafi edici adım öneriyor: web arayüzüne giden ağ yolunu kısaltarak yalnızca yönetim ağlarından veya VPN üzerinden erişilebilir hale getirmek ve artık aktif bir iş ilişkisine ait olmayan tenant hesaplarını kapatmak.

Belirtiler ve log incelemesi

Arista, saldırılarda gözlemlenen iki kaynak adresi (74.82.197.86 ve 38.54.50.151) listeliyor ve operatörlerden bu adresleri engellemelerini ve loglarda varlıklarını aramalarını istiyor. VCO web erişim loglarında okunmaya değer desenler arasında olağandışı URL benzeri yol bileşenleri, encode edilmiş karakterler, yerel veya dahili servislere atıflar ve yüksek istek oranları yer alıyor — bunlar bir injection denemesinin parmak izleri. Sorun şüphesi olduğunda danışma belgesi, operatörlerden düzeltme yapmadan önce web erişim loglarını, arka uç uygulama loglarını, sistem loglarını, veritabanı loglarını ve ilgili dosya sistemi zaman damgalarını saklamalarını istiyor; çünkü tek kanıtın üzerine yama yapmak, ne olduğuna dair soruyu cevapsız bırakır.

The Hacker News'ın aktardığına göre danışma belgesi kampanyanın ne zaman başladığını, hangi orchestrator'ların hedef alındığını veya saldırganların açığı sömürdükten sonra ne yaptığını, ayrıca bir yükseltmenin zaten ele geçirilmiş erişimi kaldırıp kaldırmadığını söylemiyor. Düzeltme, giriş yolunu kapatan bir adım olarak görülmeli; sonuçlarının düzeltilmesi olarak değil.

Neden önemli

Bir SD-WAN orchestrator'ı tüm ağın yönlendirme policy'sini elinde tuttuğundan, en düşük tenant girişini süperkullanıcı kontrolüne dönüştüren bir açık tek sistemlik değil, tüm ağa yayılan bir olaydır. Aktif sömürü teyit edilmişken, yapılandırma tabanlı bir önlem bulunmazken ve aynı ürün için bir ay içinde iki kritik danışma belgesi yayımlanmışken, kendi sunucularında barındıran operatörler için pratik yanıt kısa ama acil: her orchestrator'un envanterini çıkarın, her derlemeyi düzeltilmiş sürüm hatlarıyla karşılaştırın, bayat tenant hesaplarını kapatın ve yükseltme penceresini hemen ayırtın — sonra da logları, giriş yolunun çoktan kullanılmış olabileceği varsayımıyla inceleyin.