Auf den Punkt: Eine nicht patchbare CVSS-10-Befehlsinjektionslücke in VeloCloud Orchestrator wird aktiv ausgenutzt und erfordert sofortiges Upgrade auf reparierte Versionen sowie umfassende Incident-Response-Maßnahmen.
Arista hat eine kritische Sicherheitslücke in VeloCloud Orchestrator On-Prem (CVSS 10,0) behoben, die bereits aktiv im Wildnis ausgenutzt wird. Die unauthentisierte Befehlsinjektionsschwachstelle ermöglicht Angreifern Zugriff auf privilegierte Funktionen und kann die Verfügbarkeit, Integrität und Vertraulichkeit des Orchestrators und der verwalteten Daten kompromittieren.
Arista informiert betroffene Kunden, dass für VeloCloud Orchestrator On-Prem (ehemals VeloCloud Orchestrator by Broadcom) ein Upgrade erforderlich ist: mindestens Version 5.2.3.14 für den 5.2er-Train, 6.1.3.4 für den 6.1er-Train oder 6.4.2.4 für den 6.4er-Train. Das Unternehmen betont, dass „keine Konfiguration die Exposition verhindern kann“ – die Web-Schnittstelle ist standardmäßig exponiert und kann nicht sicher deaktiviert werden.
Da eine Kompromittierung des VCO-Orchestrators Angreifern Zugang zu allen verbundenen VeloCloud Edge-Geräten ermöglicht, empfiehlt Arista Organisationen neben dem sofortigen Patching zusätzliche Incident-Response-Maßnahmen: Rotation aller Anmeldedaten, Überprüfung administrativer Aktivitäten, Validierung des Status verwalteter Geräte sowie Wiederherstellung oder Austausch betroffener Instanzen aus vertrauenswürdigen Quellen.
Experten bewerten die Lücke als Extremfall: Eine unauthentisierte Command-Injection in einer Netzwerk-Orchestrierungsplatform, die bereits ausgenutzt wird, kombiniert mit fehlenden Konfigurationsworkarounds. Brian Levine von FormerGov warnt, dass Angreifer durch die Kontrolle der Management-Plane effektiv alle verbundenen Edge-Geräte kontrollieren – und empfiehlt, SD-WAN- und Orchestrierungsplattformen als Tier-0-Assets zu behandeln und mit der gleichen Dringlichkeit wie Identity-Infrastruktur zu patchen.
Giuseppe Trotta von Malwarebytes hebt hervor, dass Arista seine Cloud-gehosteten Systeme vor On-Premises-Deployments gesichert hat – ein Muster, das Organisationen, die On-Premises für Compliance oder Kontrolle wählen, in Nachteil versetzt. Hinzu kommt: Viele Unternehmen exponieren VCO-Management-Schnittstellen unbeabsichtigt für Vendor- und Integrator-Zugriff ins Internet. Patch-Management könnte zudem operativ herausfordernd werden, da Änderungen an der Backend-Befehlsausführung bestehende Automation (Ansible, Terraform) stören können.
Arista hatte erklärt, dass die kompromittierte Funktionalität „nur für interne Verwendung bestimmt und nicht fernzugreifen sein sollte.“ Consultants weisen darauf hin, dass dies ein klassisches Szenario interner Funktionen ist, die nie ausreichend von der exponierten Schnittstelle abgegrenzt wurden – weshalb eine einfache unauthentisierte Anfrage sie erreichen konnte.
Quelle: www.csoonline.com · Erschienen 29. Juli 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.7.3.