Arista VeloCloud Orchestrator Sıfırıncı Gün Açığı CVE-2026-114625 Saldırılarda 10-23-2026, 08:15 AM
Selamlar,
SD-WAN yönetenler için acil bir uyarı: Arista Networks, şirket içi (on-prem) VeloCloud Orchestrator (VCO) kurulumlarını etkileyen ve aktif olarak istismar edilen kritik bir sıfırıncı gün açığını 22 Ekim 2026'da yamaladı. Açık CVE-2026-114625 olarak izleniyor; pwn.watch kaydına göre CVSS puanı 9.9.
Konuda anlatılacaklar
- VCO nedir, neden değerli bir hedef?
- Açığın etkisi
- Düzeltilmiş sürümler
- Yama öncesi alınabilecek önlemler
- Ele geçirme şüphesinde ne yapmalı?
VCO nedir?
VeloCloud Orchestrator, VeloCloud SD-WAN'larını ve bağlı edge cihazlarını yapılandırmak, izlemek ve yönetmek için kullanılan web tabanlı yönetim portalı. Yani tek bir panelden onlarca, bazen yüzlerce şubenin ağ yapılandırmasına dokunulabiliyor. Bu tür merkezi yönetim düzlemleri saldırganlar için yüksek değerli hedeflerdir.
Açığın etkisi
BleepingComputer'a göre açık düşük karmaşıklıkta bir SQL injection. Saldırganın VCO web arayüzüne erişimi ve geçerli, düşük yetkili bir oturumu olması gerekiyor; kullanıcı etkileşimi gerekmiyor. Arista'nın açıklamasına göre:
Alıntı:Etkilenen bir sistemde kimliği doğrulanmış herhangi bir kullanıcı operator yetkisi kazanabilir ve yerel 'superuser operator' kullanıcısı gibi davranabilir. Bu, uzaktan erişilmesi amaçlanmayan dahili işlevlere erişimi de kapsar.Başarılı istismar, orkestratörün ve yönettiği verilerin gizliliğini, bütünlüğünü ve erişilebilirliğini tehlikeye atabiliyor.
Düzeltilmiş sürümler
Kod:
VCO On-Prem icin hedef surumler:
5.2.3.18 veya sonrasi
6.1.3.10 veya sonrasi
6.4.2.12 veya sonrasi
Hosted (Arista barindirmali) VCO: zaten yamaliYama yapılana kadar
Arista'nın önerileri:
- VCO web arayüzüne erişimi yalnızca yönetim ağlarıyla sınırlayın (internete açık panel bırakmayın).
- Bilinen kötü amaçlı IP'lerden gelen bağlantıları izleyin ve engelleyin. Arista saldırılarda 74.82.197[.]86 ve 38.54.50[.]151 adreslerinin görüldüğünü bildirdi.
- Son yönetici etkinliklerini ve olağandışı yapılandırma değişikliklerini gözden geçirin.
- Web erişim loglarında alışılmadık URL benzeri yol bileşenleri, kodlanmış (encoded) karakterler, yerel veya dahili servislere referanslar ve yüksek istek hızları arayın.
Kod:
# Ornek log taramasi (kendi VCO loglariniz icin uyarlayin)
grep -E "74\.82\.197\.86|38\.54\.50\.151" /path/to/vco/access.log*
grep -Ei "%27|%22|union|select|localhost|127\.0\.0\.1" /path/to/vco/access.log* | headEle geçirme şüphesinde
Arista, iyileştirmeden önce mümkünse VCO web erişim loglarını, backend uygulama loglarını, sistem loglarını, veritabanı loglarını ve ilgili dosya sistemi zaman damgalarını korumanızı öneriyor. Yani önce kanıtı koruyun, sonra yamalayın veya yeniden kurun; aksi halde olay müdahalesinde neyin değiştiğini kanıtlayamazsınız. Ardından Arista TAC ile iletişime geçin.
Neden önemli?
Yönetim düzlemi açıkları, saldırgana tek tek cihazlara uğraşmadan tüm ağı yeniden yapılandırma imkanı verir. Basit bir kural: yönetim panelleri internete değil, VPN veya ayrık yönetim ağına bakmalı; düşük yetkili hesaplar da düzenli denetlenmeli, çünkü bu açıkta saldırganın ihtiyacı olan tek şey herhangi bir geçerli oturum.
Kurumunuzda SD-WAN yönetim paneli internete açık mı, yoksa ayrı yönetim ağında mı? Mimariyi nasıl kurduğunuzu tartışalım.
Yasal uyarı
Bu yazı bilgilendirme ve savunma amaçlıdır. Anlatılan kontrolleri yalnızca kendi sistemlerinizde veya yazılı izinle yapın. İzinsiz erişim, tarama ve sömürü girişimleri TCK 243-245 kapsamında suçtur. TurkTeam white-hat bir topluluktur; çalıntı veri, hesap, combo/log paylaşımı ve hack hizmeti talepleri forum kurallarına aykırıdır.
Kaynaklar