セキュリティ
認証不要のコマンドインジェクションが最高値10点を記録、管理下のEdgeデバイスが露呈する恐れ
Aristaが提供するVeloCloud Orchestratorの深刻な脆弱性が、発見から短期間でKEV（既知の悪用済み脆弱性）カタログ入りしました。同社は、攻撃者がすでにこの脆弱性を悪用していることを認めています。
CVE-2026-16812として追跡されているこの脆弱性は、CVSSスコアが満点の10.0を記録しており、VeloCloud Orchestrator On-Premに影響します。これは、企業が支店やデータセンター、クラウド環境を接続するVeloCloudのソフトウェア定義ワイドエリアネットワーク(SD-WAN)を一元管理するために使用する、自社ホスト型ソフトウェアです。
Aristaのセキュリティ勧告によると、この脆弱性はOSコマンドインジェクションの脆弱性であり、認証されていないリモートの攻撃者が、本来外部に公開されるべきではない特権的な内部機能に到達できてしまうというものです。
さらに悪いことに、Aristaによればオンプレミス版オーケストレーターはデフォルトで外部に露出しており、この露出を完全に取り除ける設定は存在しないとのことです。悪用にはWebインターフェースへのアクセスが必要ですが、認証情報は不要です。管理者がパッチを適用できるまでの間、Aristaはこのインターフェースへのアクセスを信頼できる管理ネットワークに制限し、観測された攻撃に関連するIPアドレスをブロックするよう推奨しています。
「悪用に成功すると、オーケストレーターおよびオーケストレーターが管理するデータの機密性、完全性、可用性が損なわれる可能性があります」とAristaは警告しています。「VCOプラットフォームが侵害された場合、攻撃者がVeloCloud Edgeデバイスにもアクセスできてしまう恐れがあります」
Aristaは攻撃を行っていることが確認された3つのIPアドレスを公表しましたが、それ以外の詳細は明らかにしていません。同社は、誰がこの脆弱性を悪用しているのか、攻撃がいつ始まったのか、何件の顧客が影響を受けているのかについては言及しておらず、The Registerからの質問にも即座には応じませんでした。
そうした詳細情報がなくても、実際の悪用が行われているという事実を認めたことは、CISAがこの脆弱性を既知の悪用済み脆弱性(KEV)カタログに追加するには十分でした。このリストは実際の悪用が確認された脆弱性のために設けられているもので、関連する指令が適用されるのは米連邦民間機関のみですが、民間セクターの多くのセキュリティチームもKEVを、どのパッチを後回しにできないかを判断する材料として活用しています。
今回の問題はオンプレミス展開のみに影響します。Aristaのホスト型または専用のVeloCloud Orchestratorサービスを利用している顧客については、勧告の公開前にすでにパッチが適用済みだったと同社は述べています。
修正版はVeloCloud Orchestratorのバージョン5.2.3.14、6.1.3.4、6.4.2.4、7.0.0.1で提供されています。Aristaは、それより前のリリースを使用している顧客に対し、直ちにアップグレードするよう強く呼びかけています。
攻撃者による悪用がすでに始まってからパッチを公開したベンダーは、Aristaが初めてではありません。この1年、ネットワーク機器やVPN、ファイアウォールをはじめとするエッジ向け企業向けソフトウェアでは、同じパターンが繰り返し見られています。顧客が問題の存在を知った時には、すでに別の誰かがその悪用価値を証明済みだったというわけです。®
