Arista, VeloCloud Orchestrator'da aktif olarak sömürülen SQL injection açığını bildirdi ve log göstergelerini yayınladı

Arista, VeloCloud Orchestrator'daki SQL injection açığı olan CVE-2026-114625'nin sahadaki saldırılarda aktif olarak sömürüldüğünü doğruladı. Duyurunun yanı sıra üretici, savunmacıların hemen harekete geçebileceği materyal yayınladı: saldırılarla ilişkilendirilen iki kaynak IP adresi ve kötü amaçlı isteklerin orchestrator loglarında nasıl göründüğüne dair bir açıklama. dev.to üzerindeki teknik bir yazı, bu göstergelerin nasıl kullanılacağını adım adım anlatıyor.

Giriş panelinin arkasında bir superuser

VeloCloud Orchestrator (VCO), VeloCloud SD-WAN dağıtımlarının merkezi yönetim platformudur. Arista'nın Security Advisory 0199'suna göre açıklık, web arayüzü üzerinden Enterprise Read Only rolü veya üzerindeki herhangi bir kimlik doğrulaması yapılmış kullanıcı tarafından erişilebilen bir SQL injection. Başarılı bir injection, sisteme tam erişimi olan yerel superuser rolü olan operator ayrıcalıklarıyla çalışıyor. Açıklık CVSS'te 9.9 puan alıyor.

Erişilebilirlik konusunda kuşku yok: Arista, VCO'nun varsayılan olarak internete açık olduğunu ve hiçbir orchestrator ayarının bunu değiştirmediğini belirtiyor. Tek hafifletici faktör olan giriş zorunluluğu ise göründüğünden daha zayıf. dev.to analizinde belirtildiği gibi, injection taşıyan bir istek, normal şekilde kimlik doğrulaması yapılmış bir oturumun içinde seyahat edebiliyor; dolayısıyla saldırı başarısız giriş izi bırakmıyor.

Göstergeler ve log örüntüleri

Arista, saldırıları gerçekleştirdiği gözlemlenen iki adresi açıkladı: 74.82.197[.]86 ve 38.54.50[.]151. Bunları engellemek açık bir ilk adım, ancak geçmişe dönük arama daha önemli: engelleme uygulanmadan önce her iki adresten biri VCO web erişim loglarında göründüyse, o orchestrator ele geçirilme adayı olarak değerlendirilmeli ve ilk görülme zamanı soruşturmanın çıpası haline gelmeli.

Bu erişim loglarında Arista, birkaç istek özelliğine işaret ediyor: alışılmadık URL benzeri yol bileşenleri, kodlanmış karakterler, yerel veya iç servislere atıflar ve yükselmiş istek oranları. Her biri, yapılandırılmış parametreler bekleyen bir arayüze özenle hazırlanmış girdi iten birinin imzası.

Yazıdaki üç pratik uyarı bu aramayı keskinleştiriyor:

• İstekler geçerli bir oturum çereziyle gelebilir, dolayısıyla kimlik doğrulama hataları üzerine kurulu filtreler onları yakalamaz.
• Enterprise Read Only, açıklığı tetikleyebilen en düşük roldür; bu yüzden salt okunur veya denetçi bir hesabın durumu değiştiren istekler göndermesi bir kırmızı bayraktır.
• Birden fazla müşteriyi yöneten partner hesapları tek tek incelenmeli, çünkü tek bir ele geçirme yönettikleri her kiracıya yayılabilir.

Kalıcılığın mümkün olduğunu varsayın

Arista'nın rehberliği, bir saldırganın zaten operator seviyesine ulaştığı senaryoyu da kapsıyor. Üretici, VCO sunucusunda beklenmeyen giden ağ etkinliğinin izlenmesini, normal işleyişin gerektirmediği giden portların kapatılmasını ve sistemde backdoor daemon ile webshell aranmasını öneriyor.

Kanıtlar herhangi bir şey değiştirilmeden önce toplanmalı: VCO web erişim logları, backend uygulama logları, sistem logları, veritabanı logları ve ilgili dosya sistemi zaman damgaları. İyileştirme durumu üzerine yazıyor ve bir kez yazdığında, o loglar saldırının hayatta kalan tek kaydı olabilir.

Yama yüklemesi kimler için gerekli

Etkilenen on-premises sürümler, release train'e bağlı olarak 5.2.3.18, 6.1.3.10 ve 6.4.2.12'nin altındaki sürümler. Arista, Hosted ve Dedicated orchestratorlarını zaten yamaladı. VeloCloud Gateway ve VeloCloud Edge etkilenmiyor ve 7.0 train'i açık olan sürümler arasında listelenmiyor.

Kritik nokta şudur: Temmuz ve Eylül'deki önceki VCO açıklıklarını gideren dağıtımlar hâlâ açık. Bu sorunları çözen sürümler olan 5.2.3.16 veya 6.4.2.8 çalıştıran bir orchestrator, o düzeltmelerle bugün arasındaki tüm zaman diliminde bu açıklığa karşı hâlâ açıktı.

Duyurunun açık bıraktıkları

Arista, yükseltmenin bir saldırganın elde etmiş olabileceği erişimi iptal edip etmediğini, ele geçirilmiş bir orchestrator'ın VeloCloud Edge cihazlarına ulaşmak için kullanılıp kullanılamayacağını (önceki duyurularda dile getirilen bir endişe) veya gözlemlenen saldırganların erişim elde ettikten sonra ne yaptığını söylemiyor. Bu boşluklar, yamalamanın ötesine geçmeyi gerektiriyor: ara rehberliğin önerdiği gibi, hangi hesapların operator seviyesi haklarına sahip olduğunu doğrulamak ve son yönetici eylemlerini gözden geçirmek, saldırının geride bırakmış olabileceği her şeyi yakalamanın pratik yoludur.

Neden önemli

Varsayılan olarak internete açık bir yönetim düzlemindeki kimlik doğrulamalı bir SQL injection, SD-WAN yapıları için en kötü senaryoya yakın: tek bir geçerli düşük ayrıcalıklı kimlik bilgisi artı tek bir istek, orchestrator'ın tam operator kontrolünü sağlayabilir. Açıklık duyurulmadan önce sömürüldüğü için yamalama kapıyı kapatır ama birilerinin içinden geçip geçmediğini söylemez; bunu yalnızca loglar söyleyebilir. ZoomEye şu anda başlığında VeloCloud geçen 529 varlık döndürüyor; bu, doğrulanmış açıklıklı orchestrator'ların değil görünür yönetim arayüzlerinin bir sayımı, ama bu yüzeyin ne kadarının çevrimiçi olduğunun bir ölçüsü. Etkilenen bir on-premises sürüm çalıştıran herkes için yükleme ve log incelemesi iki ayrı işlem değil, tek bir işlem olarak ele alınmalı.