Zum Inhalt springen
StartAdvisoriesRansomwareCW-PodcastPodcastsBücherCreatorsSpeakerFirmenKarriereEventsCB-NetzwerkMatrix-ServerFAQBesucherstatistikFormulareSuche
CVE-2026-93952CriticalCVSS: 9.5

Kritische Schwachstelle in Arista VeloCloud Orchestrator (CVE-2026-93952)

In Arista VeloCloud Orchestrator (VCO) On-Prem ermöglicht CVE-2026-93952 einem entfernten Angreifer den Zugriff auf privilegierte interne Funktionen und die Kompromittierung des VCO-Hosts. Die Schwachstelle mit CVSS-Score 9.5 wird nach Herstellerangaben bereits aktiv ausgenutzt und gefährdet Vertraulichkeit, Integrität und Verfügbarkeit. Betreiber sollten umgehend auf die bereitgestellten Fix-Versionen aktualisieren.

METADATEN

Entdeckt:
22.09.2026
Patch verfügbar:
Ja

BETROFFENE SYSTEME

  • •Arista Networks VeloCloud Orchestrator (VCO) On-Prem 5.2.0 bis 5.2.3.15
  • •Arista Networks VeloCloud Orchestrator (VCO) On-Prem 6.1.0 bis 6.1.3.7
  • •Arista Networks VeloCloud Orchestrator (VCO) On-Prem 6.4.0 bis 6.4.2.7
  • •Arista Networks VeloCloud Orchestrator (VCO) On-Prem 7.0.0 bis 7.0.0.2

Zusammenfassung

Arista Networks hat mit Security Advisory 0183 eine kritische Sicherheitslücke in VeloCloud Orchestrator (VCO) On-Prem bestätigt (CVE-2026-93952, CVSS 9.5, Critical). Ein entfernter, nicht authentifizierter Angreifer kann auf privilegierte interne Funktionen zugreifen und den VCO-Host kompromittieren. Die Schwachstelle wird laut Arista bereits aktiv ausgenutzt. Hosted- und Dedicated-Versionen waren betroffen und wurden bereits gepatcht. Für On-Prem-Installationen stehen für die Release-Züge 5.2.3 und 6.4.2 bereits korrigierte Versionen bereit, weitere folgen.

Technische Details

  • CVE-ID: CVE-2026-93952
  • CVSS v4.0: 9.5 (AV:N/AC:H/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H)
  • CVSS v3.1: 10.0 (AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H)
  • CWE: CWE-20 Improper Input Validation
  • Bug-IDs: BUG1907167, BUG1937417
  • Angriffsvektor: Remote, ohne Authentifizierung und ohne Benutzerinteraktion, Zugriff auf privilegierte interne Funktionalität des VCO On-Prem
  • Auswirkung: Vollständige Kompromittierung von Vertraulichkeit, Integrität und Verfügbarkeit des Orchestrators und der verwalteten Daten, möglicher Übergang auf VeloCloud Edge-Geräte und den VCO-Host
  • Status: Wird extern entdeckt gemeldet und aktiv ausgenutzt
  • Bekannte IoCs laut Arista:
    • Datei-Hash (MD5): dc78e206eaeadec59fc5801fe4556bd0
    • Datei: /etc/systemd/system/vc-sysmon.service
    • HTTP-Header in Nginx-Logs: x-vc-opt
    • IP-Adressen: 142.93.149.77, 104.248.126.159

Betroffene Systeme

  • Arista Networks VeloCloud Orchestrator (VCO) On-Prem 5.2.0 bis 5.2.3.15
  • Arista Networks VeloCloud Orchestrator (VCO) On-Prem 6.1.0 bis 6.1.3.7
  • Arista Networks VeloCloud Orchestrator (VCO) On-Prem 6.4.0 bis 6.4.2.7
  • Arista Networks VeloCloud Orchestrator (VCO) On-Prem 7.0.0 bis 7.0.0.2
  • VCO Hosted inklusive Dedicated waren betroffen, wurden laut Arista aber bereits gepatcht

Nicht betroffen sind laut Arista u. a. EOS-basierte Produkte, Wi-Fi Access Points, CloudVision, AGNI, 7130 mit MOS, Converged Cloud Fabric und DANZ Monitoring Fabric.

Empfehlungen und Maßnahmen

  1. Umgehend patchen: Update auf VCO 5.2.3.16 oder neuer im 5.2.3-Zweig sowie VCO 6.4.2.8 oder neuer im 6.4.2-Zweig. Für die Zweige 6.1.x und 7.0.x Fixes beim Arista TAC bzw. im Advisory verfolgen und sobald verfügbar einspielen. Systeme ohne unterstützten Release-Zweig: TAC kontaktieren.
  2. Defense-in-Depth bis zum Patch: Web-Interface des VCO nur aus vertrauenswürdigen Admin-Netzen freigeben, nicht benötigte ausgehende Ports blocken.
  3. Monitoring und Threat Hunting: Nginx- und Applikations-Logs auf x-vc-opt, die genannten IPs, die Datei vc-sysmon.service und unerwartete ausgehende Verbindungen, Backdoors und Webshells prüfen. Admin-Aktivitäten auf unerwartete Änderungen kontrollieren.
  4. Incident Response: Bei Kompromittierungsverdacht vor der Sanierung Web-Access-Logs, Backend-Logs, System- und Datenbank-Logs sowie Filesystem-Zeitstempel sichern. Danach Credentials rotieren, verwaltete Edge-Geräte validieren und betroffene Orchestrator-Instanzen aus vertrauenswürdigen Quellen neu aufsetzen. Arista TAC einbinden.

Quellen

REFERENZEN