VeloCloud Orchestratorに重大な欠陥、悪用を確認
Aristaは、SD-WAN管理基盤VeloCloud Orchestrator(VCO)のSQLインジェクションの脆弱性CVE-2026-114625(CVSS 9.9)が、実際の攻撃で悪用されていると伝えています。自社でオンプレミス版のVCOを運用している組織が影響を受けるため、修正版へのアップグレードを急ぐ必要があります。あわせて管理画面の公開範囲を絞り、侵入の形跡がないかの確認も進めてください。
急ぎ度: 至急
CVSS 9.9の重大な欠陥で、ベンダーが実際の攻撃での悪用を伝えており、オンプレミス版は利用者自身がアップグレードする必要があるためです。
関係があるか
自社でオンプレミス版のVeloCloud Orchestrator(VCO)を運用し、拠点のSD-WAN機器を管理している組織が対象です。クラウド型のサービスとして利用している場合の扱いは公表内容からは分からず、提供元への確認が必要です。
| 製品 | 影響を受ける版 | 直った版 |
|---|---|---|
| VeloCloud Orchestrator(VCO)オンプレミス版 | 影響を受ける具体的な版は公表されていません。ベンダーの告知で確認してください。 | 修正版へのアップグレードが案内されています。版番号は公表されていないため、Aristaの告知で確認してください。 |
確かめ方
- 1社内でVCOを自社運用しているか、情報システム部門やネットワーク運用の委託先に確認します。
- 2運用している場合は、VCOの管理画面などで現在の版を確認し、Aristaの告知にある修正版と比べます。
- 3VCOの管理画面がインターネットから到達できる状態になっていないか、ファイアウォールやロードバランサーの設定を確認します。
- 4クラウド型のVCOを利用している場合は、提供元や契約先に、この脆弱性への対応状況を問い合わせます。
何が起きたか
Aristaは、VeloCloud Orchestrator(VCO)にSQLインジェクションの脆弱性があり、すでに実際の攻撃で悪用されていると伝えています。VCOは、各拠点に置いたSD-WAN機器の設定や通信ポリシーをまとめて管理する中枢のシステムです。ここに欠陥があると、管理基盤が持つ情報や権限が狙われるおそれがあります。深刻度はCVSS 9.9と、ほぼ最高に近い評価です。
SQLインジェクションとは、入力された値の扱いに不備があるとき、システム内部のデータベースへの問い合わせ内容を外部から意図しない形に変えられてしまう種類の弱点です。VCOでは、この欠陥を悪用されると、データベースの内容の読み取りや改ざんにつながる可能性があります。ただし、どの機能に問題があるのか、認証が必要かといった技術的な詳細は、現時点で公表されていません。
Aristaは、オンプレミス版のVCOを今すぐアップグレードするよう求めています。
攻撃の流れ
-
1
到達できる
攻撃者がVCOの該当機能にネットワーク経由でアクセスできる状態になっています。
-
2
不正な入力
入力の扱いの不備を突き、データベースへの問い合わせ内容を意図しない形に変えます。
-
3
データへの介入
VCOが保持する情報の読み取りや改ざんが行われるおそれがあります。
-
4
管理基盤の掌握
得た情報や権限をもとに、SD-WAN全体の設定や認証情報に影響が及ぶ可能性があります。
どう悪用されるか
悪用に認証が必要か、利用者の操作が必要かは公表されていません。CVSSが9.9と高いことから、ネットワーク経由で比較的少ない条件で悪用できる可能性は考えられますが、具体的な前提条件はAristaの告知で確認する必要があります。
悪用された場合の被害として、VCOが管理する情報の漏えいや改ざんが想定されます。VCOは複数拠点の通信設定を束ねる基盤のため、影響がVCO単体にとどまらず、拠点間の通信や接続先の設定に及ぶ可能性もあります。実際にどのような被害が出ているか、攻撃の規模や攻撃者については公表されていません。
今すぐやること
-
1
ベンダー告知を確認する
Aristaのセキュリティ告知で、影響を受ける版と修正版の番号、アップグレード手順を確認します。
-
2
オンプレミス版VCOをアップグレードする
運用中のVCOを、Aristaが案内する修正版へ早急に更新します。更新前に設定とデータのバックアップを取り、作業手順と切り戻し手順を確認しておきます。
-
3
管理画面の公開範囲を絞る
VCOの管理画面やAPIをインターネットに直接公開している場合は、VPNや許可した送信元IPアドレスからのアクセスに限定します。
-
4
侵入の形跡を確認する
すでに悪用が確認されているため、アップグレード前後を問わず、VCOのアクセスログや監査ログに不審な操作や身に覚えのない管理者アカウントがないかを調べます。ログの保全も忘れずに行います。
-
5
認証情報の見直しを検討する
不審な形跡が見つかった場合は、VCOの管理者パスワードやAPIトークン、連携している機器の認証情報の入れ替えを検討します。
すぐ更新できないとき
ベンダーが公式の回避策を示しているかは公表されていません。修正版を当てるまでの暫定措置としては、VCOへのアクセス元を必要な範囲に限定し、インターネットからの直接アクセスを遮断する方法が考えられます。ただし、これは修正の代わりにはなりません。
背景
VeloCloud Orchestratorは、SD-WAN（拠点間の通信をソフトウェアで制御するネットワーク方式）の設定や運用をまとめて行う管理基盤です。拠点が多い企業では、通信経路や接続ポリシーを一括で管理するために使われます。管理基盤は一か所に権限と情報が集まるため、侵害されると影響が広がりやすい点が特徴です。
SQLインジェクションは、Webアプリケーションの代表的な脆弱性の種類として古くから知られています。ネットワーク機器の管理画面や運用管理ソフトでも、同種の欠陥が見つかり、攻撃に使われてきました。管理系のシステムは外部から到達できる状態で運用されていることもあり、修正の遅れが被害につながりやすい分野です。
よくある質問
Q.クラウド型のVCOを使っていますが、対応は必要ですか。
Q.米国の政府機関向けの対応期限は出ていますか。
Q.アップグレードすれば、侵害されていないことも確認できますか。
まだ分かっていないこと
- 影響を受ける版と修正版の具体的な番号は公表されていません。
- 悪用に認証が必要かどうか、どの機能が狙われているかといった技術的な詳細は明らかになっていません。
- 攻撃の規模や被害を受けた組織、攻撃者については公表されていません。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| Arista Networks | VeloCloud Orchestrator |
5.2.0 以上 5.2.3.18 未満 6.1.0 以上 6.1.3.10 未満 6.4.0 以上 6.4.2.12 未満 |
5.2.3.18 6.1.3.10 6.4.2.12 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
VeloCloud Orchestrator (VCO) on-prem has a security issue where this issue may allow a remote attacker to access privileged internal functionality and impact the VCO host. Successful exploitation may compromise the confidentiality, integrity, and availability of the orchestrator and data managed by the orchestrator.
On an affected system, any authenticated user can gain operator privileges and masquerade as a local "superuser operator" user. This includes access to functionality that is intended for internal use only and which is not intended to be remotely accessible.
Hosted, including Dedicated, versions of VCO were impacted and have already been patched.
出典: Security Online NVD GitHub Advisory CISA KEV
参照URL
- patch psirt@arista.com
- SECURITYONLINE Arista Warns VeloCloud Orchestrator Flaw CVE-2026-114625 Is Exploited in the Wild
- web nvd.nist.gov
- web github.com
- web cisa.gov