Eine glatte 10 von 10 auf der CVSS-Skala ist selten — und wenn sie dazu noch aktiv ausgenutzt wird, ist Eile geboten. Genau das meldet Netzwerkausrüster Arista für sein VeloCloud Orchestrator (VCO), das Herzstück seiner SD-WAN-Lösung.
WAS DIE LÜCKE SO GEFÄHRLICH MACHT
Die Schwachstelle CVE-2026-93952 ist als unzureichende Eingabevalidierung (CWE-20) eingestuft und erreicht die höchstmögliche CVSS-3.1-Wertung von 10,0 (CVSS 4.0: 9,5). Laut Arista kann ein Angreifer ohne jede Anmeldung über das Netzwerk auf privilegierte interne Funktionen des Orchestrator-Hosts zugreifen — mit Folgen für Vertraulichkeit, Integrität und Verfügbarkeit des gesamten Systems und der darüber verwalteten Daten.
Betroffen sind ausschließlich selbst betriebene (On-Prem-)Installationen des VeloCloud Orchestrator, bei denen die zertifikatsbasierte Authentifizierung zwischen VeloCloud Edge und VCO aktiv ist — also die Modi „Certificate Acquire“ oder „Certificate Required“, nicht die einfachere PSK-Variante. Voraussetzung für einen Angriff ist zusätzlich, dass der Angreifer Netzwerkzugriff auf die VCO-Weboberfläche sowie den öffentlichen Teil eines Edge-Authentifizierungszertifikats besitzt.
BESTÄTIGT: Bereits aktiv ausgenutzt
Arista schreibt im Advisory ausdrücklich, dass die Lücke extern entdeckt wurde und bekanntermaßen aktiv ausgenutzt wird. Nicht betroffen sind die von Arista selbst betriebenen Hosted- und Dedicated-Varianten des Orchestrators — die wurden bereits vorab gepatcht. Das Risiko konzentriert sich also klar auf Unternehmen, die ihren VCO selbst im eigenen Rechenzentrum oder in der eigenen Cloud betreiben.
PATCH-STAND: Nicht alle Zweige gleich weit
Fixe Versionen gibt es bislang für zwei der vier betroffenen Versionszweige:
- 5.2.x → Update auf 5.2.3.16
- 6.4.x → Update auf 6.4.2.8
- 6.1.x und 7.0.x → Fixes stehen laut Arista noch aus
Wer auf einem der beiden noch ungepatchten Zweige läuft, muss sich vorerst auf Aristas empfohlene Sofortmaßnahmen verlassen, statt auf ein Update zu warten.
SOFORTMASSNAHMEN, WENN DU NICHT SOFORT PATCHEN KANNST
Arista empfiehlt in der Zwischenzeit ausdrücklich:
- Zugriff auf die VCO-Weboberfläche strikt auf vertrauenswürdige Admin-Netze beschränken
- Unnötige ausgehende Ports blockieren und auf unerwartete ausgehende Verbindungen vom VCO-Host achten
- Administrator-Aktivitätsprotokolle auf nicht autorisierte Änderungen prüfen
EINORDNUNG: SD-WAN als unterschätztes Ziel
SD-WAN-Orchestratoren wie der VeloCloud Orchestrator laufen meist im Hintergrund und geraten seltener ins Blickfeld als klassische Firewalls oder VPN-Gateways — dabei steuern sie den kompletten Datenverkehr zwischen Filialen, Rechenzentren und Cloud-Diensten eines Unternehmens. Eine Übernahme des Orchestrators kann Angreifern damit einen zentralen Hebel über das gesamte Netzwerk verschaffen, nicht nur über einen einzelnen Standort. Genau diese zentrale Rolle macht die Höchstwertung von CVSS 10,0 nachvollziehbar und sollte IT-Teams mit eigenem SD-WAN-Betrieb zu einer kurzfristigen Bestandsaufnahme veranlassen, welche Versionszweige aktuell im Einsatz sind.