Aufmacher · Schwachstellen
CISA nimmt zwei ausgenutzte Lücken auf – eine davon ist der dritte Zero-Day in Arista VeloCloud binnen vier Monaten
Ein Orchestrator, der seit dem Sommer dreimal per Zero-Day angegriffen wurde, hat keine Pechsträhne; er führt ein Gespräch mit uns.
CISA hat CVE-2026-114625 aufgenommen, eine SQL-Injection im On-Prem-Arista-VeloCloud-Orchestrator (EPSS 0,00555), sowie CVE-2026-110447, eine OS-Command-Injection im integrierten CODE Server von Collabora Online, wie er in NextCloud verwendet wird (EPSS 0,01225). SecurityWeek, zehn Stunden hinter dem Katalog, beschreibt die Arista-Lücke als den dritten VCO-Zero-Day, der binnen vier Monaten ausgenutzt wurde: eine kritische SQL-Injection, die Angreifern Zugang zu privilegierten internen Funktionen und Operator-Rechten verschafft.
Bevor Sie das Ticket schreiben, lohnt ein Blick auf einen Widerspruch. Der KEV-Eintrag besagt, ein entfernter Angreifer könne privilegierte interne Funktionen erreichen und den VCO-Host beeinträchtigen; die OTX-Analyse hingegen sagt, authentifizierte Nutzer mit minimalen Rechten könnten sich zum Superuser-Operator hochstufen. Das sind unterschiedliche Bedrohungsmodelle, und nur eines davon lässt Sie ruhig schlafen – gehen Sie also vom unfreundlicheren aus, bis Arista etwas anderes sagt. Der Collabora-Eintrag beschreibt derweil eine Remote-Code-Ausführung, die auch dann funktioniert, wenn der CODE-Server gar nicht läuft – die ehrlichste Beschreibung moderner Software, die ich diesen Monat gelesen habe.
Drei getrennte Zero-Days im selben Orchestrator binnen vier Monaten sind keine Folge unabhängiger Ereignisse, sondern eine tragende Komponente, die von Leuten mit viel Zeit freigelegt wird. Chestertons Zaun gilt in beide Richtungen: Jemand hat diesen Abfragepfad aus gutem Grund gebaut, und jemand anderes hat nun herausgefunden, welcher Grund das war. Patchen Sie zuerst den Orchestrator. Er verwaltet alles andere.
Warum es wichtig istIst Ihr SD-WAN-Controller aus dem Internet erreichbar, ist er der kürzeste Weg von einem gestohlenen Login mit niedrigen Rechten zu jeder Ihrer Filialen.