Arista, VeloCloud Orchestrator'da aktif olarak sömürülen SQL injection açığına ilişkin uyarıyor (CVE-2026-114625)

Ne oldu

Arista, VeloCloud SD-WAN edge cihazlarını yapılandıran ve izleyen yönetim platformu VeloCloud Orchestrator'daki (VCO) kritik bir SQL injection açığının saldırganlar tarafından aktif olarak sömürüldüğünü doğruladı. CVE-2026-114625 olarak takip edilen ve CVSS ölçeğinde 9.9 puan alan bu açıklık, 22 Ekim'de yayımlanan Arista güvenlik bülteni SA-0199'da duyuruldu.

Bülten, saldırılarda görülen iki kaynak adresi — 74.82.197[.]86 ve 38.54.50[.]151 — belirtiyor; ancak sömürünün ne zaman başladığını, hangi dağıtımların hedef alındığını ya da saldırganların içerideyken ne yaptığını açıklamıyor.

Injection açığı ayrıcalıkları nasıl yükseltiyor

VeloCloud Orchestrator çok kiracılı bir sistemdir: operatörler ve iş ortakları müşteri hesapları oluşturur, her iş ortağı bir müşteri grubunu yönetebilir ve erişim rol tabanlıdır. Müşteri kullanıcıları için en düşük yerleşik rol, envanteri, topolojiyi ve raporları görüntülemek amacıyla tasarlanmış Enterprise Read Only düzeyidir.

Arista'ya göre açık, orchestrator arka ucunda ve SQL sorgusunun istek verisinden oluşturulduğu yerde bulunuyor. Girdi, ifadenin yalnızca bir değeri olmaktan çıkıp doğrudan ifadenin parçası haline geldiği için, özenle hazırlanmış bir istek sorgunun davranışını değiştirebiliyor. Arista, sonucu yerel bir süper kullanıcının ayrıcalıklarıyla — fiilen tam erişime sahip operatör rolüyle — kod çalıştırılması olarak tanımlıyor.

Bu varış noktası, önem puanını açıklıyor: salt okunur görünürlük için tasarlanmış bir hesap, operatör düzeyine ayrılmış eylemleri gerçekleştirebiliyor.

Saldırganın nelere ihtiyacı var

İki koşul geçerli ve bülteni özetleyen dev.io... dev.to üzerindeki bir yazı, ikisinin de kurumsal dağıtımlarda rutin olduğunu belirtiyor. Saldırganın, Arista'nın varsayılan olarak açık olduğunu ve bir orchestrator ayarıyla kapatılamadığını söylediği VCO web arayüzüne ağ erişimi ve Enterprise Read Only ya da üzeri düzeyde geçerli bir oturum açma bilgisi gerekiyor — bu, birkaç müşteriyi yöneten iş ortağı hesaplarını da kapsıyor.

Bu, Arista'nın Temmuz sonundan bu yana sömürüldüğünü bildirdiği üçüncü VCO açığı, ancak kimlik doğrulaması gerektiren ilk açık. Temmuz'daki CVE-2026-16812 ve Eylül'deki CVE-2026-93952 hiçbir kimlik bilgisi olmadan kötüye kullanılabiliyordu; yani çıtaya yalnızca hafifçe çıkılmış durumda.

Başarılı bir saldırının etkisi

Orchestrator üzerindeki operatör düzeyinde bir oturum, o kiracı altındaki tüm müşterilerin SD-WAN dokusunu yönetir. Arista ayrıca, açığın saldırganın VCO sunucusunun kendisini de etkileyebilmesine izin verebileceğini, yani orchestrator'ı ve yönettiği verileri açığa çıkarma, değiştirme veya aksatma yeteneği sağlayabileceğini söylüyor.

VeloCloud Edge ve Gateway donanımları bu açığı taşımıyor; ancak orchestrator, bu cihazların yapılandırmalarının yazıldığı yerdir. Bu nedenle olay, cihaz düzeyinde değil, kontrol düzlemi (control-plane) seviyesinde bir ele geçirmedir.

Düzeltilmiş sürümler

Düzeltmeler sürüm hattına göre değişiyor: 5.2 hattı için 5.2.3.18 ve sonrası, 6.1 için 6.1.3.10 ve sonrası, 6.4 için 6.4.2.12 ve sonrası. Arista, Hosted ve Dedicated orchestrator'larını zaten yamaladı. 7.0 hattı listede yer almıyor ve bülten, listede bulunmayan bir sürümün açık içermediğini belirtiyor; destek sonu gelmiş sürüm hatları değerlendirilmemiş olup bunları kullanan müşteriler yükseltme yolları için Arista'nın Teknik Destek Merkezi'yle iletişime geçmeli.

Yazının vurguladığı bir ayrıntı: Temmuz ve Eylül açıklarını düzelten sürümleri çalıştıran orchestrator'lar hâlâ açık durumda, çünkü bu sürümler mevcut düzeltmelerden önce hazırlanmıştı. Yaz aylarında bir kez yama yapmak bunu kapsamıyor.

Geçici önlemler ve ele geçirme kontrolleri

Düzeltilmiş bir sürüm kurulana kadar Arista, VCO web arayüzünü güvenilir yönetim ağlarıyla sınırlandırmayı, bilinen iki kötücüllik adresinden gelen bağlantıları izlemeyi, VCO sunucusundan beklenmedik giden trafiği gözetmeyi, normal işleyişte gerekmeyen giden portları engellemeyi, backdoor daemon'ları ve webshell'leri aramayı ve açıklanamayan değişiklikler için son yönetici etkinliğini incelemeyi öneriyor.

Yöneticiler ayrıca yukarıdaki iki adresi engellemeli ve loglarda aramalı; olağandışı yol bileşenleri, kodlanmış karakterler, dahili servislere atıflar veya anormal istek hızları taşıyan istekler için VCO web erişim loglarını incelemelidir. Ele geçirmeden şüphelenilirse, herhangi bir onarım yapmadan önce web, uygulama, sistem ve veritabanı logları ile ilgili dosya zaman damgaları saklanmalıdır.

Önceki bültenler, ele geçirilmiş bir orchestrator'ın edge cihazlarına giden bir yol açabileceği konusunda uyarmıştı; bu açık için Arista, bunun hâlâ geçerli olup olmadığını ya da yükseltmenin içerideki bir saldırganı dışarı atıp atmadığını söylemiyor. Yükseltmeden önce internetten erişilebilir olan bir orchestrator, hâlâ operatör düzeyinin doğrulanması gereken bir sistem olarak ele alınmalıdır.

Boyut belirleme açısından dev.to yazısı, 529 VeloCloud markalı varlıkla eşleşen bir ZoomEye sorgusuna atıf yapıyor; ancak bunun onaylanmış açık kurulumları değil, ürünün ne kadar açıkta olduğunu ölçtüğü uyarısında bulunuyor.

Neden önemli

Bu, birçok kuruluşun güvenilir altyapı olarak gördüğü bir kontrol düzlemi sisteminin aktif olarak sömürülmesi ve giriş gereksiniminin bilinçli olarak düşük tutulması: iş ortağı hesapları dahil herhangi bir meşru salt okunur kimlik bilgisi yeterli. Web arayüzü varsayılan olarak açık ve bu açıklığı VCO içinden kapatmanın desteklenen bir yolu olmadığından, ağ düzeyinde kısıtlama pratik ara savunma haline geliyor. Bu ayrıca yaklaşık üç ay içindeki üçüncü sömürülen orchestrator açığı — bu örüntü, izole bir hatadan çok VeloCloud dağıtımlarına yönelik süregiden bir hedefleme işaret ediyor. Temmuz veya Eylül'de yama yapan yöneticiler burada kapsanmıyor ve yeniden yükseltme yapmak zorunda; ayrıca daha önce internetten erişilebilir bir orchestrator çalıştıran herkes, yamanın ötesinde operatör düzeyinin de gözden geçirilmesi gerektiğini varsaymalı.