Arista VeloCloud sotto attacco: SQL injection CVSS 9,9 già sfruttata

🛡️ Executive Summary

• Arista conferma lo sfruttamento attivo di CVE-2026-114625, SQL injection CVSS 9,9 che consente a un utente autenticato di ottenere privilegi di superuser operator su VeloCloud Orchestrator.
• Linux ksmbd presenta due vulnerabilità RCE CVSS 9,0: una race condition attivabile prima dell’autenticazione e un integer underflow nel trasporto SMB Direct, entrambe segnalate pubblicamente da ZDI.
• La correzione ksmbd non è ancora uniformemente disponibile nei kernel stabili, mentre CISA conferma sei vulnerabilità sfruttate nell’aggiornamento KEV del 20 ottobre, già oggetto di precedente copertura.

Arista Networks ha confermato una nuova vulnerabilità critica già sfruttata contro VeloCloud Orchestrator, il sistema di gestione centralizzata delle infrastrutture SD-WAN. La falla CVE-2026-114625, classificata CVSS 9,9, permette a un utente autenticato di raggiungere privilegi amministrativi superiori attraverso una SQL injection. Contemporaneamente, Trend Micro Zero Day Initiative ha pubblicato due segnalazioni relative a Linux ksmbd, il server SMB integrato nel kernel, entrambe valutate CVSS 9,0 e potenzialmente capaci di consentire esecuzione remota di codice. I due sviluppi hanno livelli di rischio differenti: Arista documenta attacchi reali e dispone di patch, mentre le vulnerabilità Linux sono state rese pubbliche prima che le correzioni raggiungessero uniformemente i kernel stabili. La differenza è determinante per stabilire le priorità degli amministratori.

VeloCloud Orchestrator perde il controllo dei privilegi attraverso una SQL injection

La vulnerabilità CVE-2026-114625 interessa VeloCloud Orchestrator On-Prem, componente utilizzato per amministrare centralmente dispositivi Edge e configurazioni delle reti SD-WAN. Il Security Advisory 0199 pubblicato da Arista il 22 ottobre descrive una SQL injection CWE-89 che consente a qualsiasi utente già autenticato sul portale di ottenere privilegi da operatore e impersonare un account locale di tipo superuser operator. Il requisito minimo è il ruolo Enterprise Read Only, il livello più basso previsto per gli utenti tenant: una credenziale che normalmente dovrebbe permettere soltanto la consultazione può quindi diventare uno strumento per raggiungere funzionalità privilegiate non destinate all’accesso remoto. Arista assegna alla falla CVSS 3.1 di 9,9 e CVSS 4.0 di 9,4, confermando che il problema è stato individuato internamente ed è già sfruttato in attacchi reali. La società non indica il numero delle organizzazioni compromesse né attribuisce pubblicamente le operazioni a uno specifico gruppo criminale. La vulnerabilità è presente nelle configurazioni predefinite delle release interessate, ma richiede accesso di rete all’interfaccia web dell’Orchestrator e una sessione autenticata valida; non può quindi essere descritta come RCE anonima senza autenticazione.

Il nuovo incidente arriva dopo una sequenza di vulnerabilità già sfruttate contro VeloCloud. A settembre CVE-2026-93952 aveva interessato le configurazioni con autenticazione basata su certificati, costringendo Arista a pubblicare aggiornamenti urgenti e indicatori di compromissione. Il precedente delle vulnerabilità VeloCloud, SharePoint e KVM con exploitation confermata mostra perché un sistema di orchestrazione rappresenti un bersaglio particolarmente delicato: il suo controllo può incidere sulla configurazione delle reti, sull’accesso amministrativo e sui dispositivi Edge gestiti. La nuova SQL injection introduce una modalità differente di escalation, perché non richiede necessariamente di superare il sistema di autenticazione ma può sfruttare un account legittimo con privilegi limitati.

Leggi anche: Tre vulnerabilità sfruttate colpiscono FortiOS, VeloCloud e Fastjson

Arista pubblica le patch e gli indicatori degli attacchi contro VeloCloud

Le versioni vulnerabili comprendono VeloCloud Orchestrator 5.2.x precedenti alla 5.2.3.18, 6.1.x precedenti alla 6.1.3.10 e 6.4.x precedenti alla 6.4.2.12. Le tre release rappresentano anche le prime versioni corrette dei rispettivi rami, mentre Arista precisa che i prodotti Hosted e Dedicated sono già stati aggiornati direttamente dal fornitore. Le versioni fuori supporto non sono state valutate nell’advisory e richiedono un confronto con il Technical Assistance Center per individuare un percorso di migrazione. Il produttore conferma che nessuna modifica di configurazione elimina completamente l’esposizione delle release vulnerabili: la remediation definitiva consiste nell’aggiornamento. Per gli ambienti che non possono applicare immediatamente la patch, Arista raccomanda di limitare l’accesso all’interfaccia web alle reti amministrative fidate, monitorare il traffico in uscita dall’Orchestrator e verificare eventuali modifiche anomale effettuate dagli account privilegiati.

La società ha inoltre identificato due indirizzi IP associati agli attacchi, 74.82.197.86 e 38.54.50.151, raccomandando agli amministratori di bloccarli e cercarne eventuali tracce nei registri di accesso. La presenza di questi indicatori non dimostra automaticamente che una compromissione sia riuscita, ma giustifica un’analisi approfondita di web access log, log applicativi, registri di sistema e database. Quando esiste il sospetto di un’intrusione, Arista raccomanda di preservare le evidenze prima della remediation e di considerare anche la verifica dello stato dei dispositivi Edge amministrati. Installare la patch elimina il percorso vulnerabile, ma non rimuove necessariamente eventuali accessi persistenti ottenuti prima dell’aggiornamento. Per le infrastrutture SD-WAN, la risposta deve quindi comprendere revisione degli account, rotazione delle credenziali quando appropriata e controllo delle configurazioni dei dispositivi collegati.

Linux ksmbd espone una race condition RCE raggiungibile prima dell’autenticazione

La prima vulnerabilità Linux, identificata come ZDI-CAN-33774, riguarda una race condition nel meccanismo utilizzato da ksmbd per selezionare i gestori delle richieste SMB. La segnalazione originale di Trend Micro Zero Day Initiative alla mailing list del kernel descrive una condizione in cui il server assegna a una richiesta la tabella delle operazioni corrispondente al protocollo ricevuto, ma successivamente utilizza una tabella modificata durante l’elaborazione concorrente dei pacchetti. In determinate sequenze, dati SMB1 possono essere interpretati attraverso un gestore SMB2, provocando una lettura fuori dai limiti del buffer originario e la possibile esposizione di porzioni di memoria del kernel. Il rapporto tecnico descrive anche un percorso verso una scrittura fuori limite nella gestione dei security descriptor, che richiede ulteriori condizioni relative alla disponibilità di una condivisione accessibile. La vulnerabilità può essere attivata prima dell’autenticazione, purché il servizio ksmbd sia effettivamente in esecuzione e raggiungibile attraverso la rete sulla porta TCP 445.

ZDI assegna al problema CVSS 9,0, ma il vettore prevede complessità d’attacco elevata perché è necessario ottenere una particolare interazione temporale tra le richieste e i worker del kernel. Il ricercatore ha effettuato i test su Linux 7.3-rc3 in ambiente Debian trixie, documentando il comportamento attraverso Kernel Address Sanitizer. La segnalazione non equivale tuttavia alla dimostrazione pubblica di un exploit RCE affidabile su tutte le distribuzioni Linux: il rapporto documenta primitive di accesso fuori limite e possibilità di corruzione della memoria, senza confermare campagne offensive reali. Si tratta inoltre di una situazione differente rispetto alle vulnerabilità Linux già sfruttate e agli exploit pubblici capaci di ottenere privilegi root, nelle quali l’escalation locale richiedeva normalmente un accesso iniziale al sistema.

SMB Direct presenta un integer underflow e la disclosure anticipa i kernel stabili

La seconda vulnerabilità, ZDI-CAN-33549, interessa il trasporto SMB Direct, utilizzato per trasferire traffico SMB attraverso interfacce Remote Direct Memory Access, o RDMA. La seconda segnalazione tecnica inviata ai manutentori Linux descrive un integer underflow nella funzione smbdirect_connection_rdma_xmit(), dove una gestione errata della lunghezza dei buffer può provocare il ritorno del contatore a un valore inatteso e una successiva copia oltre i limiti della memoria allocata. Anche in questo caso ZDI assegna CVSS 9,0, ma i prerequisiti restringono sensibilmente la superficie d’attacco: occorrono un’interfaccia RDMA hardware o software, una condivisione ksmbd scrivibile e un client capace di negoziare SMB Direct. Non tutti i server Linux con condivisioni SMB sono quindi automaticamente vulnerabili attraverso questo percorso, così come la semplice presenza del modulo nel kernel non prova che il servizio sia attivo e raggiungibile.

La pubblicazione dei rapporti ha aperto anche una questione sulle procedure di disclosure delle vulnerabilità Linux. Trend Micro ha trasmesso le segnalazioni alle mailing list pubbliche prima della distribuzione delle correzioni nei normali rami stabili, suscitando critiche da parte di alcuni manutentori per l’assenza di patch allegate. La situazione è però più articolata rispetto alla definizione di vulnerabilità completamente prive di correzione: Namjae Jeon ha comunicato il 22 ottobre che il problema ZDI-CAN-33774 era già stato corretto nel proprio ramo di sviluppo, indicando il commit 68f410faedaf6ee74d81e574733c50ebcc1bd8ed. La disponibilità del commit non significa che tutte le distribuzioni abbiano già ricevuto la modifica attraverso i repository ufficiali. Per ZDI-CAN-33549 erano emerse indicazioni di lavoro su una correzione, senza una release stabile generalmente disponibile al momento della disclosure. Nessuna delle due segnalazioni disponeva ancora di un identificativo CVE pubblico confermato. Il problema operativo è dunque la distanza tra segnalazione, correzione nel ramo di sviluppo, integrazione upstream e distribuzione effettiva delle patch, passaggi che non devono essere considerati equivalenti.

Continua con:

Check Point, due falle sfruttate colpiscono gestione e VPN: CISA le mette nel KEV

La priorità è VeloCloud sotto attacco, per Linux serve ridurre l’esposizione SMB

Per gli amministratori delle infrastrutture aziendali italiane, VeloCloud Orchestrator rappresenta l’intervento immediato perché Arista ha confermato lo sfruttamento attivo e distribuito le versioni corrette. La gestione della vulnerabilità deve comprendere il controllo dei privilegi degli account tenant, l’analisi retrospettiva degli accessi e la verifica dell’integrità del sistema di orchestrazione, soprattutto quando l’interfaccia amministrativa risulta accessibile da reti non fidate. Per Linux ksmbd il percorso difensivo richiede invece di identificare prima di tutto i sistemi che utilizzano realmente il server SMB nel kernel, verificare l’esposizione della porta TCP 445 e disabilitare il servizio negli ambienti dove non è necessario. Le configurazioni SMB Direct devono essere analizzate separatamente, controllando la presenza di RDMA, delle condivisioni scrivibili e dei client autorizzati a utilizzarle. In assenza di patch stabili distribuite dal proprio vendor, limitare l’accesso alle reti fidate rappresenta una misura di contenimento, non una correzione definitiva. Le nuove disclosure mostrano soprattutto che il rischio non dipende soltanto dal punteggio CVSS: sfruttamento confermato, disponibilità delle patch, privilegi necessari e reale configurazione del servizio determinano l’urgenza degli interventi. Nel caso VeloCloud il pericolo è già operativo; nel caso ksmbd la finestra di esposizione nasce dalla pubblicazione delle primitive tecniche prima del completamento della distribuzione delle correzioni.