Arista vá khẩn lỗ hổng zero-day thứ ba trên VeloCloud Orchestrator trong bốn tháng

Arista Networks vừa tung ra bản vá cho một lỗ hổng zero-day nghiêm trọng trên VeloCloud Orchestrator (VCO) – công cụ quản lý tập trung dành cho các giải pháp mạng của hãng. Đáng chú ý, đây là lỗ hổng zero-day thứ ba bị khai thác trên VCO chỉ trong vòng bốn tháng, cho thấy mức độ rủi ro ngày càng tăng đối với hạ tầng mạng doanh nghiệp.

Arista VeloCloud Orchestrator

Lỗ hổng SQL injection cho phép leo thang đặc quyền

Lỗ hổng được theo dõi với mã CVE-2026-114625, có điểm CVSS 9.9 – mức nghiêm trọng nhất. Đây là một lỗi SQL injection có thể khai thác từ xa.

Theo khuyến cáo từ Arista, phiên bản VCO cài đặt tại chỗ (on-prem) tồn tại lỗ hổng cho phép kẻ tấn công từ xa truy cập vào các chức năng nội bộ đặc quyền và gây ảnh hưởng tới chính máy chủ VCO.

"Trên hệ thống bị ảnh hưởng, bất kỳ người dùng đã xác thực nào cũng có thể giành quyền operator và mạo danh tài khoản 'superuser operator' cục bộ. Điều này bao gồm quyền truy cập vào các chức năng chỉ dành cho mục đích nội bộ và không được thiết kế để truy cập từ xa", Arista cho biết.

Khai thác thành công có thể ảnh hưởng tới cả ba yếu tố bảo mật, toàn vẹn và khả năng sẵn sàng của VCO cùng toàn bộ dữ liệu mà hệ thống quản lý.

Phạm vi ảnh hưởng và bản vá

Tất cả các bản phát hành VCO trước phiên bản 5.2.3.18, 6.1.3.10 và 6.4.2.12 đều bị ảnh hưởng. Arista đã vá các triển khai VCO do hãng vận hành (hosted), nhưng kêu gọi người dùng cập nhật bản cài đặt on-premises càng sớm càng tốt.

Hãng cũng xác nhận lỗ hổng do chính Arista phát hiện và đang bị khai thác tích cực trên thực tế.

Điều đáng lo ngại là các triển khai VCO mặc định vẫn phơi lộ ra internet. Kẻ tấn công chỉ cần truy cập được giao diện web VCO và có một phiên đăng nhập hợp lệ với đặc quyền tenant thấp nhất là đã đủ để tấn công.

"Không có cấu hình nào có thể ngăn chặn việc phơi lộ này", Arista nhấn mạnh.

Dấu hiệu tấn công và khuyến nghị xử lý

Các cuộc tấn công được ghi nhận xuất phát từ hai địa chỉ IP: 74.82.197.86 và 38.54.50.151. Quản trị viên nên chặn các IP này, kiểm tra log để phát hiện dấu vết, đồng thời điều tra các dấu hiệu bất thường như:

• Tần suất yêu cầu cao đột biến
• Các yêu cầu chứa thành phần đường dẫn giống URL lạ
• Ký tự được mã hóa bất thường
• Các tham chiếu đến dịch vụ cục bộ hoặc nội bộ

Nếu nghi ngờ hệ thống đã bị xâm phạm, Arista khuyến nghị các nhà vận hành nên sao lưu toàn bộ log – bao gồm log truy cập web VCO, log ứng dụng backend, log hệ thống, log cơ sở dữ liệu và dấu thời gian của hệ thống tệp – trước khi tiến hành khắc phục, với điều kiện khả thi về mặt vận hành.

Bảo mật hệ thống mạng

Biện pháp tạm thời trước khi vá

Cập nhật lên phiên bản VCO đã được sửa lỗi là biện pháp khắc phục được khuyến nghị. Trong thời gian chờ triển khai bản vá, quản trị viên nên:

• Hạn chế truy cập vào giao diện VCO
• Rà soát lại hoạt động quản trị gần đây
• Giám sát các truy cập đáng ngờ
• Chặn các cổng outbound
• Theo dõi sự xuất hiện của backdoor daemon và webshell

Chuỗi zero-day liên tiếp đáng báo động

CVE-2026-114625 là lỗ hổng zero-day thứ ba bị khai thác trên VCO mà Arista phải vá trong bốn tháng, sau CVE-2026-16812 vào tháng 7 và CVE-2026-93952 vào tháng 9.

Diễn biến này cho thấy VeloCloud Orchestrator đang trở thành mục tiêu ưa thích của các nhóm tấn công có chủ đích. Với các doanh nghiệp Việt Nam đang sử dụng giải pháp SD-WAN của VeloCloud – nay thuộc Arista – việc rà soát phiên bản VCO, chặn các IP độc hại và siết chặt kiểm soát truy cập nên được ưu tiên ngay lập tức, đặc biệt khi hệ thống quản lý tập trung này nắm quyền điều khiển toàn bộ hạ tầng mạng của tổ chức.