Arista VCOで権限昇格の悪用を確認、管理画面の更新とログ点検を
影響を受けるもの
- VeloCloud Orchestrator自社設置版
- VCO 5.2.3.18より前の5.2.x
- VCO 6.1.3.10より前の6.1.x
- VCO 6.4.2.12より前の6.4.x
CVE-2026-114625（脆弱性情報一覧で確かめる）
Arista Networksは10月22日、VeloCloud Orchestrator（VCO）のSQLインジェクション脆弱性CVE-2026-114625について、実際の悪用を確認したと公表した。管理画面に接続できる認証済み利用者が、内部向けの高い管理権限を取得し、管理サーバーや扱うデータを侵害するおそれがある。最低の組み込み権限「Enterprise Read Only」も攻撃条件に含まれる。[1]
開発元が示す修正版は5.2.3.18、6.1.3.10、6.4.2.12。ホステッド版は専用環境を含め修正済みとされる。GitHubの脆弱性データベースにも、認証済み利用者から管理権限へ昇格する問題として記録され、CVSSv4.0は9.4のCriticalと評価されている。[1][2]
担当者は自社設置版の系列とバージョンを確認し、更新に加えて管理画面の接続元を信頼できる管理ネットワークへ絞る。開発元は不審なWebアクセス、管理操作、外向き通信の点検を勧めている。侵害が疑われる場合は、対応前にアクセス・アプリケーション・システム・データベースのログを保全し、調査につなげる。[1]
担当者が確かめること
- VCOの管理画面で系列とバージョンを確認し、5.2.3.18／6.1.3.10／6.4.2.12以降への更新を手配する。
- ネットワーク設定でVCO管理画面への接続元を確認し、信頼できる管理ネットワークに制限する。
- Webアクセスログで通常と異なるパス、符号化された文字、内部サービス参照、大量の要求を調べる。
- 最近の管理操作とVCOの外向き通信を確認し、見覚えのない変更や通信先を調査する。
- 侵害が疑われる場合は、対応前にWeb・アプリケーション・システム・DBログと関連ファイルの時刻情報を保全する。
SERVICE最新AIペネトレーションテスト悪用される前に、弱点を洗い出す。公開Web・API・クラウド・社内システムまで、合意した範囲だけを、攻撃者と同じ最新のAI攻撃ツールで試します。報告は今日直すものに絞って優先順位をつけ、修正後の再検証まで行います。
