Arista Networks menambal celah injeksi SQL di VeloCloud Orchestrator (VCO) versi on-premise yang sudah dipakai penyerang sebelum patch tersedia. Celah bernomor CVE-2026-114625 itu mendapat skor CVSS 3.1 sebesar 9,9. Badan keamanan siber Amerika Serikat, CISA, memasukkannya ke katalog Known Exploited Vulnerabilities pada 23 Oktober 2026 dan meminta instansi federal memasang perbaikan paling lambat 26 Oktober.
VCO adalah pusat kendali jaringan SD-WAN VeloCloud. Dari konsol ini, administrator mengatur konfigurasi dan kebijakan untuk perangkat Edge di kantor cabang. Perusahaan yang memasang VCO di server sendiri adalah pihak yang perlu bergerak cepat, karena Arista sudah menambal versi Hosted dan Dedicated yang dikelolanya.
Akun baca-saja cukup untuk naik jadi operator
Menurut advisory Arista bernomor 0199 yang terbit 22 Oktober, penyerang membutuhkan akses jaringan ke antarmuka web VCO dan satu sesi login yang sah. Peran terendah, Enterprise Read Only, sudah cukup. Dari situ penyerang bisa memperoleh hak operator, menyamar sebagai akun superuser lokal, dan memengaruhi server VCO itu sendiri. Arista menyebut VCO terbuka secara bawaan dan tidak ada pengaturan yang bisa menutup paparan tersebut.
Versi terdampak adalah rilis 5.2 sebelum 5.2.3.18, rilis 6.1 sebelum 6.1.3.10, dan rilis 6.4 sebelum 6.4.2.12. VeloCloud Gateway dan VeloCloud Edge tidak terdampak. Arista belum memeriksa versi yang sudah habis masa dukungannya.
Arista belum menyebut siapa pelakunya, berapa organisasi yang menjadi korban, atau apa yang dilakukan penyerang setelah mendapat hak operator. Perusahaan itu hanya membagikan dua alamat IP yang menurut The Hacker News berlokasi di Jepang. Ini celah VCO ketiga yang dieksploitasi sejak Juli 2026, setelah CVE-2026-16812 dan CVE-2026-93952, dan yang pertama mensyaratkan login. Dalam pembaruan katalog yang sama, CISA juga mencantumkan celah Collabora CODE untuk Nextcloud.
Yang perlu dilakukan admin jaringan
- Perbarui VCO on-premise ke 5.2.3.18, 6.1.3.10, atau 6.4.2.12 sesuai jalur rilis yang dipakai.
- Sebelum patch terpasang, batasi akses antarmuka web VCO hanya dari jaringan administrasi tepercaya.
- Pantau lalu lintas keluar yang tidak wajar dari server VCO dan blokir port keluar yang tidak dibutuhkan.
- Periksa log akses web untuk permintaan berisi karakter ter-encode atau rujukan ke layanan internal, lalu cari web shell, daemon asing, dan perubahan admin yang tidak dikenali.
- Jika ada tanda pembobolan, simpan dulu log web, aplikasi, sistem, basis data, serta stempel waktu berkas sebelum memulihkan sistem. Daftar indikator lengkap ada di advisory Arista.
- Pengguna versi yang sudah tidak didukung perlu menghubungi TAC Arista untuk jalur pembaruan.
Operator telekomunikasi dan penyedia layanan terkelola di Indonesia yang menjalankan VCO sendiri sebaiknya memperlakukan setiap akun pelanggan, termasuk yang hanya bisa membaca, sebagai jalan masuk potensial sampai server mereka berada di versi yang sudah diperbaiki.
Sumber: Arista Security Advisory 0199, The Hacker News. Gambar: Arista Networks
Tinggalkan Balasan