Arista ออกแพตช์แก้ไขช่องโหว่ Zero-day ใหม่บน VeloCloud Orchestrator ที่กำลังถูกนำมาใช้ในการโจมตีจริง

Arista Networks ปล่อยอัปเดตด้านความปลอดภัยเพื่อแก้ไขช่องโหว่ Zero-day ที่กำลังถูกนำมาใช้ในการโจมตีจริง ซึ่งส่งผลกระทบต่อระบบ VeloCloud Orchestrator (VCO) ที่ติดตั้งแบบ On-Prem

VCO เป็น Management Portal ผ่านเว็บที่ช่วยให้ผู้ดูแลระบบสามารถตั้งค่า, ตรวจสอบ และจัดการเครือข่าย VeloCloud SD-WAN (Software-Defined Wide Area Network) รวมถึงอุปกรณ์ Edge ที่เกี่ยวข้อง

ช่องโหว่นี้มีหมายเลข CVE-2026-114625 เป็นช่องโหว่ที่มีความรุนแรงระดับ Critical ที่ช่วยให้ผู้โจมตีที่มีสิทธิ์ระดับพื้นฐาน, สามารถเข้าถึง Web interface ของ VCO และมี Session ที่ผ่านการยืนยันตัวตน สามารถยกระดับสิทธิ์ได้ผ่านการโจมตีแบบ SQL Injection ที่มีความซับซ้อนต่ำ และไม่ต้องอาศัยการโต้ตอบจากผู้ใช้

Arista ระบุว่า "VeloCloud Orchestrator (VCO) แบบ On-Prem มีช่องโหว่ด้านความปลอดภัยที่อาจทำให้ผู้โจมตีจากภายนอกสามารถเข้าถึงฟังก์ชันการทำงานภายในที่ต้องใช้สิทธิ์ระดับสูง และส่งผลกระทบต่อ Host ของ VCO ได้ การโจมตีสำเร็จอาจสร้างความเสียหายต่อความลับ (Confidentiality), ความถูกต้องสมบูรณ์ (Integrity) และความพร้อมใช้งาน (Availability) ของระบบ Orchestrator รวมถึงข้อมูลที่อยู่ภายใต้การจัดการของระบบดังกล่าว"

"ในระบบที่ได้รับผลกระทบ ผู้ใช้งานที่ผ่านการยืนยันตัวตนแล้วจะสามารถรับสิทธิ์ระดับ Operator และปลอมแปลงเป็นบัญชี 'superuser operator' ภายในระบบได้ ซึ่งรวมถึงการเข้าถึงฟังก์ชันที่ออกแบบมาสำหรับใช้งานภายในเท่านั้น และไม่ได้เปิดให้เข้าถึงจากระยะไกล"

บริษัทระบุว่า ได้ดำเนินการอัปเดตแพตช์บนระบบ Hosted VCO ที่รันเวอร์ชัน 5.2.3.18 หรือใหม่กว่า 6.1.3.10 หรือใหม่กว่า และ 6.4.2.12 หรือใหม่กว่า เป็นที่เรียบร้อยแล้ว

ก่อนที่จะมีการนำแพตช์ไปติดตั้งใช้งาน Arista แนะนำให้ผู้ดูแลระบบเฝ้าระวังการเชื่อมต่อจากหมายเลข IP ที่เป็นอันตราย, จำกัดการเข้าถึงหน้า Web interface ของ VCO ให้อยู่เฉพาะในเครือข่ายสำหรับการดูแลระบบ และตรวจสอบการทำงานของผู้ดูแลระบบล่าสุดเพื่อหาการเปลี่ยนแปลงที่ผิดปกติ

นอกจากนี้ ผู้ดูแลระบบยังได้รับคำแนะนำให้ตรวจสอบ Web Access Logs ของ VCO เพื่อหากิจกรรมที่น่าสงสัย เช่น Request ที่มีองค์ประกอบของ Path คล้าย URL ผิดปกติ, มีการใช้ตัวอักษรที่ถูกเข้ารหัส (Encoded Characters), มีการอ้างอิงถึงบริการแบบ Local หรือ Internal services และมีอัตราการส่ง Request ที่สูง

บริษัทยังแจ้งเตือนให้ทีม Security ทำการบล็อกหมายเลข IP 74[.]82[.]197[.]86 และ 38[.]54[.]50[.]151 ซึ่งถูกตรวจพบว่าถูกนำมาใช้ระหว่างการโจมตีที่กำลังเกิดขึ้น

"หากสงสัยว่าระบบถูกเจาะ ผู้ดูแลระบบควรรักษา Web Access Logs ของ VCO, Backend Application Logs, System Logs, Database Logs และข้อมูล Timestamps ของระบบไฟล์ที่เกี่ยวข้องเอาไว้ก่อนจะดำเนินการแก้ไขเท่าที่สามารถทำได้ในเชิงปฏิบัติ" พร้อมแนะนำให้ลูกค้าติดต่อศูนย์สนับสนุนทางเทคนิคของ Arista Networks (TAC) เพื่อขอความช่วยเหลือเพิ่มเติม

ในปีนี้ Arista ได้ออกแพตช์แก้ไขช่องโหว่ Zero-day ที่ถูกนำไปใช้ในการโจมตีจริงแล้วถึง 3 รายการ (CVE-2026-7473 ในเดือนพฤษภาคม, CVE-2026-16812 ในเดือนกรกฎาคม และ CVE-2026-93952 ในเดือนกันยายน) ซึ่งส่งผลกระทบต่อระบบปฏิบัติการ Extensible Operating System (EOS) และ VeloCloud Orchestrator แบบ On-Prem

Arista Networks เป็นบริษัทที่ติดอันดับ Fortune 500 และเป็นหนึ่งในบริษัทของสหรัฐฯ ที่มีรายได้สูงที่สุด โดยมีลูกค้ามากกว่า 10,000 รายทั่วโลก

ที่มา : bleepingcomputer