-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA512


   #####################################################
  ##  N C S C ~ B E V E I L I G I N G S A D V I E S  ##
 #####################################################

Titel           : Kwetsbaarheid verholpen in Arista VeloCloud Orchestrator (VCO) on-premises
Advisory ID     : NCSC-2026-0459
Versie          : 1.00
Kans            : medium
CVE ID          : CVE-2026-114625
                  (Details over de kwetsbaarheden kunt u vinden op
                   de Mitre website: https://cve.mitre.org/cve/)
Schade          : high
                  Improper Neutralization of Special Elements used in an
                  SQL Command ('SQL Injection')
Uitgiftedatum   : 20261028
Toepassing      : Arista Networks VeloCloud Orchestrator
                  Arista VeloCloud Orchestrator
Versie(s)       :
Platform(s)     :

Beschrijving
   Arista heeft een kritieke kwetsbaarheid verholpen in VeloCloud
   Orchestrator (VCO) On-Prem.

   De kwetsbaarheid met kenmerk CVE-2026-114625 heeft een CVSS-score van
   9.9 en betreft SQL-injectie. Een geauthenticeerde kwaadwillende kan
   de kwetsbaarheid op afstand misbruiken om verhoogde rechten te
   verkrijgen en zich voor te doen als een lokale 'superuser operator'.
   Hierdoor kan de kwaadwillende toegang krijgen tot interne
   beheerfunctionaliteiten en mogelijk de vertrouwelijkheid, integriteit
   en beschikbaarheid van het systeem en de beheerde gegevens aantasten.
   Voor succesvol misbruik heeft een kwaadwillende toegang nodig tot de
   webinterface van VCO en een geldige gebruikerssessie. Een account met
   de laagste standaardrechten, Enterprise Read Only, is hiervoor
   voldoende. Volgens Arista is de kwetsbare functionaliteit standaard
   blootgesteld en kan dit niet via een configuratiewijziging worden
   verholpen.
   Succesvol misbruik kan leiden tot het verkrijgen van administratieve
   rechten en toegang tot interne functionaliteiten die normaal
   gesproken niet op afstand bereikbaar zijn. Hierdoor kunnen ook de
   door VCO beheerde netwerkomgevingen risico lopen.
   De kwetsbaarheid maakt het mogelijk voor elke geauthenticeerde
   gebruiker met minimaal een Enterprise Read Only-rol om remote code
   uit te voeren en privileges te escaleren naar operatorniveau.
   Hierdoor krijgt de gebruiker toegang tot interne superuserfuncties.
   Het product is standaard blootgesteld zonder configuratieopties om
   deze aanvalsvector te beperken. Er zijn meldingen van kwaadaardige
   IP-adressen die exploitatiepogingen uitvoeren, waaronder 74.82.197.86
   en 38.54.50.151. Hosted VCO-instanties hebben reeds patches ontvangen
   om dit probleem te verhelpen.
   Arista bevestigt dat de kwetsbaarheid actief wordt misbruikt. Het
   NCSC adviseert om de beveiligingsupdates met spoed toe te passen en
   kwetsbare systemen te onderzoeken op aanwijzingen voor eerdere
   compromittering.

Mogelijke oplossingen
   Arista heeft beveiligingsupdates uitgebracht om de kwetsbaarheid te
   verhelpen. De kwetsbaarheid is verholpen in VCO 5.2.3.18, 6.1.3.10 en
   6.4.2.12, of latere versies binnen de betreffende releasebranches.
   Hosted-omgevingen, waaronder Dedicated, zijn volgens Arista reeds
   bijgewerkt.
   Totdat de beveiligingsupdates zijn geïnstalleerd, adviseert Arista de
   toegang tot de VCO-webinterface te beperken tot vertrouwde
   beheernetwerken.
   Vanwege het actieve misbruik adviseert Arista daarnaast de
   webtoegangslogs te onderzoeken op verdachte verzoeken en activiteiten
   vanaf de IP-adressen 74.82.197[.]86 en 38.54.50[.]151. Bij
   vermoedelijke compromittering wordt door Arista geadviseerd relevante
   logbestanden en forensische gegevens veilig te stellen. Zie
   bijgevoegde referenties voor meer informatie.

   Referenties:
      Reference
      https://www.arista.com/en/support/advisories-notices/security-
      advisory/24838-security-advisory-0199

Vrijwaringsverklaring
   Door gebruik van deze security advisory gaat u akkoord met de
   navolgende voorwaarden. Ondanks dat het NCSC de grootst mogelijke
   zorg heeft betracht bij de samenstelling van dit beveiligingsadvies,
   kan het NCSC niet instaan voor de volledigheid, juistheid of
   (voortdurende) actualiteit van dit beveiligingsadvies. De informatie
   in dit beveiligingsadvies is uitsluitend bedoeld als algemene
   informatie voor professionele partijen. Aan de informatie in dit
   beveiligingsadvies kunnen geen rechten worden ontleend. Het NCSC
   en de Staat zijn niet aansprakelijk voor enige schade ten gevolge
   van het gebruik of de onmogelijkheid van het gebruik van dit
   beveiligingsadvies, waaronder begrepen schade ten gevolge van de
   onjuistheid of onvolledigheid van de informatie in dit
   beveiligingsadvies. Op dit beveiligingsadvies is Nederlands recht
   van toepassing. Alle geschillen in verband met en/of voortvloeiend
   uit dit beveiligingsadvies zullen worden voorgelegd aan de exclusief
   bevoegde rechter te Den Haag. Deze rechtskeuze geldt tevens voor de
   voorzieningenrechter in kort geding.
-----BEGIN PGP SIGNATURE-----
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=M2+O
-----END PGP SIGNATURE-----