CVE-2026-114625
VeloCloud Orchestrator (VCO) on-prem weist ein Sicherheitsproblem auf, durch das ein entfernter Angreifer möglicherweise auf intern vorgesehene privilegierte Funktionen zugreifen und den VCO-Host beeinträchtigen kann. Eine erfolgreiche Ausnutzung kann die Vertraulichkeit, Integrität und Verfügbarkeit des Orchestrators und der vom Orchestrator verwalteten Daten gefährden. Auf einem betroffenen System kann jeder authentifizierte Benutzer Operator-Rechte erlangen und sich als lokaler Operator-Benutzer „superuser operator“ ausgeben. Dies umfasst den Zugriff auf Funktionen, die ausschließlich für die interne Nutzung vorgesehen sind und nicht remote erreichbar sein sollten. Gehostete Versionen von VCO, einschließlich Dedicated-Versionen, waren betroffen und wurden bereits gepatcht.
Aktiv ausgenutzt
- Seit dem 23.10.2026 im CISA-Katalog ausgenutzter Schwachstellen
- US-Bundesbehörden müssen sie bis zum 26.10.2026 beheben (BOD 22-01)
- Angegriffen 1 Tag bevor die Schwachstelle öffentlich wurde
Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.
Quelle: CISA KEV · 23.10.2026 22.10.2026
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:HBetroffene Produkte
| Hersteller | Produkt | Versionen |
|---|---|---|
| arista | velocloud orchestrator | < 5.2.3.18 |
Verwandte Artikel
Ausgenutzte Schwachstellen in Nextcloud-App und VeloCloud führen zu Behebungspflichten der CISA
Ausgenutzte Schwachstellen in Nextcloud-App und VeloCloud führen zu Behebungspflichten der CISA
Arista schließt aktiv ausgenutzte Sicherheitslücke im VeloCloud Orchestrator (CVE-2026-114625)
Arista schließt aktiv ausgenutzte CVE-2026-114625 im lokalen VeloCloud Orchestrator: SQL-Injection erlaubt Ausweitung auf Operator-Rechte.
This product uses the NVD API but is not endorsed or certified by the NVD.
Die technische Beschreibung ist unsere Übersetzung des englischen NVD-Originaltexts.