CVE-2026-114625: Arista VeloCloud Orchestrator SQL injection yalnızca üç build'de giderildi

Arista'nın VeloCloud Orchestrator'ındaki, CVE-2026-114625 olarak takip edilen kritik bir SQL injection yalnızca üç belirli build'de — desteklenen her release train'i için bir tane — onarıldı; bu da on-prem operatörlerin, yakın zamandaki bir yamanın kendilerini koruyup korumadığını söyleyebilmek için önce tam olarak hangi train ve build'i çalıştırdıklarını tespit etmeleri gerektiği anlamına geliyor. Arista'nın Hosted ve Dedicated çözümleri de etkilenmişti ancak satıcı tarafında zaten giderildi. Bu ayrıntılar, Arista'nın Güvenlik Danışma Belgesi 0199, CVE kaydı ve The Hacker News'teki habere dayanan, dev.to'da yayınlanan bir triage notundan geliyor.

Etkilenen ve düzeltilen build'ler

Nota göre CVE kaydı üç etkilenen aralık listeliyor:

• 5.2.0 ve sonrası, 5.2.3.18'den öncekiler
• 6.1.0 ve sonrası, 6.1.3.10'dan öncekiler
• 6.4.0 ve sonrası, 6.4.2.12'den öncekiler

Karşılık gelen düzeltilmiş build'ler 5.2.3.18, 6.1.3.10 ve 6.4.2.12. Bu üç train'den birinde listelenen build'in altındaki herhangi bir sürümü çalıştıran herkes risk altında; farklı bir train'deki dağıtımlar danışma belgesinin kapsamı dışında kalıyor.

Son yamaların neden yeterli olmadığı

Bu danışma belgesinin en keskin yanı tarihsel. Daha önceki iki VeloCloud Orchestrator açığı 2026 boyunca istismar edildi — Temmuz'da CVE-2026-16812 ve Eylül'de CVE-2026-93952; bunları The Hacker News ele aldı. Bu iki sorunu gidermek için yükseltilmiş bir orchestrator, CVE-2026-114625'ye karşı hâlâ açık olabilir; çünkü önceki kusurları çözen build'ler, aynı train üzerindeki yeni düzeltilmiş build'lerin altında yer alıyor. Bu nedenle, daha önceki bir değişiklik kaydında tamamen yamalı olarak işaretlenmiş bir host hâlâ risk altında olabilir. Notun önerisi net: geçmiş danışma belgelerini arka plan bilgisi olarak görün, güncel güvenliğin kanıtı olarak değil.

Kapsam dışı

VeloCloud Gateway ve VeloCloud Edge bu CVE'den etkilenmiyor. Danışma belgesindeki listede yer almayan train'ler, 7.0 dahil, savunmasız olarak belirtilmemiş. Arista ayrıca destek süresi dolmuş sürümlerin hiç değerlendirilmediğini belirtiyor; dolayısıyla desteklenmeyen bir train'i güvenli değil, bilinmeyen olarak sınıflandırmak ve bir yükseltme planlamak için Arista'nın TAC ekibine yönlendirmek daha doğru.

Önem derecesi ve oturum açma gereksinimi

CVE kaydı CVSS 3.1 olarak 9.9, CVSS 4.0 olarak 9.4 puanı veriyor. Her ikisi de kritik bölgeye düşüyor ve her ikisi de ağ üzerinden erişilebilen, düşük karmaşıklıkla istismar edilebilen ve yalnızca düşük ayrıcalıklarla kullanılabilen bir kusuru tanımlıyor. Bu son unsur iç görüşmeyi yeniden şekillendiriyor: istismar için geçerli bir oturum açma gerekiyor, dolayısıyla kimlik bilgisi hijyeni, tenant'ların çıkarılması (offboarding) ve paylaşılan hesap uygulamaları genel bir düzen işinden doğrudan istismar yoluna taşınıyor.

Geçici önlemler

Bir sonraki bakım penceresi hâlâ günler uzaktaysa, not bu arada ağ tarafında önlemler alınmasını öneriyor: orchestrator'un web arayüzünü bilinen yönetim ağlarıyla sınırlayın, normal işleyiş için gerekmeyen giden portları kapatın ve yönetici etkinliğini kimsenin beklemediği değişiklikler açısından denetleyin. Bu adımlar erişilebilirliği azaltır ama injection'ı onarmaz. Yükseltmeden sonra, değişiklik biletine güvenmek yerine cihazda fiilen çalışan build'i doğrulayın ve maruz kalma penceresine ait loglarda, haberlerde adı geçen saldırgan adreslerini arayın.

Neden önemli

Bu, bir açık hikayesi olduğu kadar bir yama yönetimi hikayesi. Kusurun kendisi önem ölçeğinin en üstünde puan alıyor, ancak pratik risk kapsam belirlemeden kaynaklanıyor: üç train, üç düzeltilmiş build ve artık yamalı sayılmayan önceki yamalı durumlar. 2026'da VeloCloud Orchestrator'da iki açık zaten istismar edildiğine göre saldırganların bu ürün hattını izlediği açık; oturum açma gereksinimi ise kimlik disiplininin artık çevre güvenliğinin bir parçası olduğu anlamına geliyor. Hosted müşteriler Arista tarafından düzeltildi; harekete geçmesi gerekenler on-prem ekipler ve ilk adım basitçe hangi build'i çalıştırdıklarını bilmek.