Cảnh báo lỗ hổng CVE-2026-114625 trên VeloCloud Orchestrator đang bị khai thác
Các nhà nghiên cứu bảo mật phát hiện lỗ hổng SQL injection nghiêm trọng (CVE-2026-114625) trên VeloCloud Orchestrator, cho phép kẻ tấn công leo thang đặc quyền.
- Mối đe dọa: Lỗ hổng SQL injection (CWE-89) trong VeloCloud Orchestrator (VCO) đang bị khai thác tích cực trong thực tế.
- Tác động: Người dùng có quyền thấp nhất (Enterprise Read Only) có thể leo thang lên đặc quyền 'superuser operator'.
- Khuyến nghị: Quản trị viên cần cập nhật ngay lên các phiên bản đã vá lỗi 5.2.3.18, 6.1.3.10, hoặc 6.4.2.12.
- Chỉ số IOC: Cần chặn truy cập từ các địa chỉ IP độc hại 74.82.197.86 và 38.54.50.151.
Các nhà nghiên cứu bảo mật vừa phát đi cảnh báo khẩn cấp về một lỗ hổng bảo mật nghiêm trọng trong VeloCloud Orchestrator (VCO), được định danh là CVE-2026-114625. Lỗ hổng này cho phép những người dùng đã được xác thực, ngay cả với vai trò hạn chế nhất, có thể thực hiện tấn công SQL injection để chiếm quyền điều khiển hệ thống dưới dạng 'superuser operator'.
Phân tích kỹ thuật lỗ hổng CVE-2026-114625
Theo thông tin từ Arista Networks, lỗ hổng này được phân loại là CWE-89 (SQL injection), với điểm số CVSS v3.1 là 9.9 và CVSS v4.0 là 9.4, phản ánh mức độ nguy hiểm cực kỳ cao. Cơ chế tấn công không yêu cầu quyền quản trị viên, mà chỉ cần một phiên làm việc hợp lệ (authenticated session) trên giao diện web của VCO.
Kẻ tấn công có thể lợi dụng vai trò 'Enterprise Read Only' để thực thi các truy vấn SQL độc hại, từ đó vượt qua các kiểm soát truy cập nội bộ. Khi thành công, kẻ tấn công sẽ có khả năng mạo danh tài khoản 'superuser operator', mở ra quyền truy cập vào các chức năng hệ thống vốn không được phép tiếp cận từ xa.
| Loại thực thể | Giá trị / Chỉ số | Mô tả tác động |
|---|---|---|
| Mã CVE | CVE-2026-114625 | Lỗ hổng SQL injection nghiêm trọng |
| Mã CWE | CWE-89 | SQL Injection |
| IP C2/Độc hại | 74.82.197.86 | Nguồn tấn công đã xác định |
| IP C2/Độc hại | 38.54.50.151 | Nguồn tấn công đã xác định |
Phạm vi ảnh hưởng và các phiên bản cần cập nhật
Lỗ hổng này ảnh hưởng trực tiếp đến các triển khai on-premises của VeloCloud Orchestrator. Arista đã xác nhận các phiên bản sau đây cần được nâng cấp ngay lập tức để ngăn chặn nguy cơ bị khai thác:
- VCO 5.2.x: Cần nâng cấp lên phiên bản 5.2.3.18 hoặc mới hơn.
- VCO 6.1.x: Cần nâng cấp lên phiên bản 6.1.3.10 hoặc mới hơn.
- VCO 6.4.x: Cần nâng cấp lên phiên bản 6.4.2.12 hoặc mới hơn.
⚠️ Cảnh báo quan trọng: Việc hạn chế quyền truy cập mạng chỉ là biện pháp giảm thiểu tạm thời (workaround). Các tổ chức bắt buộc phải thực hiện cập nhật phần mềm lên phiên bản đã vá lỗi để giải quyết triệt để lỗ hổng này.
Hướng dẫn săn tìm mối đe dọa (Threat Hunting)
Các đội ngũ SOC và quản trị hệ thống cần thực hiện rà soát các dấu hiệu xâm nhập dựa trên các chỉ số IOC đã được công bố. Việc kiểm tra nhật ký hệ thống (logs) là bước quan trọng để xác định xem hệ thống đã bị khai thác hay chưa.
Các nhà nghiên cứu khuyến nghị thực hiện các bước sau:
- Kiểm tra nhật ký: Tìm kiếm các đường dẫn URL bất thường, các ký tự được mã hóa (encoded characters), hoặc các truy vấn tham chiếu đến dịch vụ nội bộ.
- Giám sát lưu lượng: Theo dõi các kết nối outbound bất thường và các thay đổi trong tài khoản quản trị viên.
- Phát hiện backdoor: Kiểm tra sự tồn tại của các webshell hoặc các dịch vụ lạ được cài đặt trái phép trên máy chủ Orchestrator.
Để biết thêm chi tiết về quy trình cập nhật và các biện pháp bảo mật bổ sung, quản trị viên có thể tham khảo Security Advisory 0199 từ trang hỗ trợ chính thức của Arista Networks. Việc ưu tiên vá lỗi thay vì coi đây là bảo trì định kỳ là yếu tố sống còn trong bối cảnh lỗ hổng đang bị khai thác tích cực.
Mạng Lưới An Ninh Mạng & Cộng Đồng
Nhận cảnh báo 0-Day khẩn cấp, phân tích mã độc và tham gia thảo luận kỹ thuật cùng chuyên gia.
Ban biên tập nội dung và phân tích an ninh mạng tại ADSECVN.COM.
Bài Viết Liên Quan
