Уязвимость максимального уровня серьезности, затрагивающая локальные версии Arista VeloCloud Orchestrator (VCO), стала активно эксплуатироваться в реальных условиях.
Эта уязвимость, зарегистрированная под номером CVE-2026-16812 (оценка CVSS: 10,0), представляет собой случай внедрения команд в операционную систему, что может привести к выполнению произвольного кода.
«В локальной версии VeloCloud Orchestrator (VCO) обнаружена уязвимость, которая может позволить удаленному злоумышленнику получить доступ к привилегированным внутренним функциям и повлиять на работу хоста VCO», — сообщила компания Arista в своем предупреждении, опубликованном в понедельник.
«Успешная эксплуатация уязвимости может поставить под угрозу конфиденциальность, целостность и доступность оркестратора, а также данных, управляемых им. Данная функциональность предназначалась исключительно для внутреннего использования и не была рассчитана на удаленный доступ».
Американский производитель сетевого оборудования сообщил, что данная уязвимость уже была устранена в хостируемых и выделенных версиях VCO. Уязвимы следующие версии:
VCO 5.2.x, версии до 5.2.3.14
VCO 6.1.x, версии до 6.1.3.4
VCO 6.4.x версии до 6.4.2.4
VCO 7.0.x версии до 7.0.0.1
Компания Arista признала, что уязвимость была обнаружена сторонними исследователями и, как известно, активно эксплуатировалась, однако не раскрыла, когда она была обнародована и сколько клиентов потенциально могли пострадать в результате злонамеренных кибератак, использующих эту уязвимость в своих целях.