Arista Networksは、同社のVeloCloud Orchestrator(VCO)オンプレミス版プラットフォームに存在する最大深刻度の脆弱性を公表しました。この脆弱性により、認証を経ていないリモート攻撃者が任意のOSコマンドを実行できる状態にあり、実際の悪用も既に確認されています。
CVE-2026-16812として追跡されているこの脆弱性は、CVSSv3.1およびCVSSv4.0で満点となる10.0のスコアを付けられています。これは、認証不要でネットワーク経由で悪用可能という特性と、機密性・完全性・可用性のすべてが完全に侵害される点を反映したものです。
この問題はCWE-78(OSコマンドで使用される特殊要素の不適切な無害化)に分類されており、社内ではBUG 1901675として追跡されています。
2026年7月27日に公開されたアドバイザリによると、この脆弱性はVCO内部専用の機能に起因するものです。この機能はリモートからアクセスされることを想定していませんでしたが、デフォルト設定では外部に露出してしまっています。
設定変更によってこの露出を解消する方法は存在せず、さらに重大な点として、悪用にテナントやオペレーターの認証情報は一切必要ありません。攻撃者はVCOのWebインターフェースにネットワークアクセスできるだけで攻撃が可能です。
悪用に成功すると、攻撃者はVCOホスト上の特権を持つ内部機能へのアクセスを獲得し、そこからさらに侵入範囲を広げ、接続されているVeloCloud Edgeデバイスを侵害する可能性もあります。
この脆弱性の影響を受けるのは、以下を実行しているオンプレミスのVCO環境です。
AristaのHosted版およびDedicated版のVCO製品は、本通知が公開される前に事前修正が施されており、影響を受けません。また、Aristaの主力であるEOSベースの製品群、CloudVision製品、VeloCloud Gateway/Edgeコンポーネントも、本アドバイザリの対象外です。
Aristaはこの脆弱性の存在を確認し、外部からの報告により発見されたこと、および現在進行形で悪用が行われていることを認めています。同社は攻撃を行っていることが観測された3つのIPアドレス、8.19.75.217、206.72.242.124、206.72.242.162を公開しました。運用担当者にはこれらの指標をブロックし、過去のログにも同様の活動がないか確認することが求められています。
IPアドレスのブロックに加えて、AristaはVCOのWebアクセスログを確認し、不審なURLパスの構成要素、エンコードされた文字列、内部サービスへの参照、異常なリクエスト量がないかを点検するよう推奨しています。
バックエンドおよびシステムログについても、予期しない外部への通信、無許可の設定変更、説明のつかないコマンド実行、データベースや認証情報への異常なアクセスがないか確認する必要があります。
Aristaの指示は明確です。直ちにパッチを適用してください。5.2、6.1、6.4の各系列で修正済みリリースが提供されており、最新ブランチでは7.0.0.1でこの問題が解決されています。
直ちにパッチを適用できない組織は、VCOのWebインターフェースへのアクセスを信頼できる管理ネットワークに限定し、既知の悪意あるIPからの接続を監視するとともに、直近の管理者アクティビティに異常がないか点検することが推奨されます。
ホストが完全に侵害される可能性があることを踏まえ、Aristaは復旧後の対応として、侵害の疑いがある組織に対し、認証情報のローテーションや管理者アクティビティの確認を含むインシデントレスポンス手順の実施を推奨しています。
影響を受けるオンプレミス版VCOを稼働させている組織は、満点の深刻度スコア、認証不要という条件、そして実際の悪用が確認されているという3つの要素が重なっていることを踏まえ、緊急のパッチ適用課題として対応すべきです。
SOC調査の死角を減らし、ANY.RUNで脅威をより早期に封じ込めることで、対応コストと業務への影響を削減できます。
翻訳元: https://cyberpress.org/critical-arista-velocloud-flaw/