Arista VeloCloud: Maximale Schwachstelle wird aktiv ausgenutzt

Eine kritische Schwachstelle in Arista VeloCloud Orchestrator wird aktiv ausgenutzt. CISA setzt die Lücke mit Höchstwert 10.0 auf die KEV-Liste.

Eine kritische Sicherheitslücke in lokalen Installationen des Arista VeloCloud Orchestrator (VCO) wird derzeit aktiv ausgenutzt. Die Schwachstelle wird unter der Kennung CVE-2026-16812 geführt und erreicht den maximalen CVSS-Schweregrad von 10.0. Es handelt sich um eine Betriebssystem-Befehlsinjektion, die ohne vorherige Authentifizierung die Ausführung von beliebigem Programmcode ermöglicht. Arista Networks teilte dazu mit:

„VeloCloud Orchestrator (VCO) On-Prem weist ein Sicherheitsproblem auf, das es einem entfernten Angreifer ermöglichen kann, auf privilegierte interne Funktionalitäten zuzugreifen und den VCO-Host zu beeinträchtigen. Eine erfolgreiche Ausnutzung kann die Vertraulichkeit, Integrität und Verfügbarkeit des Orchestrators und der von ihm verwalteten Daten kompromittieren. Diese Funktionalität war nur für den internen Gebrauch bestimmt und sollte nicht aus der Ferne zugänglich sein.“

Arista Networks

Die US-Cybersicherheitsbehörde CISA hat die Lücke in ihren Katalog bekannter ausgenutzter Schwachstellen (KEV) aufgenommen und verpflichtet zivile Bundesbehörden zur Behebung bis zum 30. Juli 2026.

Betroffene Versionen und Notfallmaßnahmen bei Arista VeloCloud

Die Sicherheitslücke betrifft ausschließlich On-Premises-Varianten. Hosted- und Dedicated-Instanzen wurden vom Hersteller vorab aktualisiert. Betroffen sind folgende Softwarestände:

• VCO 5.2.x vor Version 5.2.3.14
• VCO 6.1.x vor Version 6.1.3.4
• VCO 6.4.x vor Version 6.4.2.4
• VCO 7.0.x vor Version 7.0.0.1

Arista hat zur Überprüfung der Netzwerke drei IP-Adressen als Angriffsindikatoren veröffentlicht: 8.19.75.217, 206.72.242.124 und 206.72.242.162. Sofern Patches nicht sofort eingespielt werden können, wird eine Zugriffsbeschränkung der Verwaltungsoberfläche auf vertrauenswürdige Netzwerke empfohlen. Hinsichtlich nachgelagerter Systeme warnte der Hersteller: „Kompromittierungen der VCO-Plattform können Angreifern auch Zugriff auf die VeloCloud-Edge-Geräte verschaffen,“

Weitere KEV-Katalogergänzungen zu Fortinet und Fastjson

Neben der Arista-Lücke hat die CISA weitere aktiv ausgenutzte Schwachstellen in ihren Katalog aufgenommen. Dazu gehört CVE-2025-68686 (CVSS 5.3) in Fortinet FortiOS SSL-VPN, eine Schwachstelle zur Offenlegung vertraulicher Informationen, die eine Umgehung früherer Schutzmaßnahmen bei vorhandenen Dateisystemrechten erlaubt. Hier gilt eine Behebungsfrist bis zum 10. August 2026.

Zudem wird die ungepatchte Lücke CVE-2026-16723 (CVSS 9.0) in Alibabas Fastjson-Bibliothek ausgenutzt. Entwicklern der betroffenen Versionen 1.2.68 bis 1.2.83 wird die Aktivierung des SafeMode oder der Wechsel auf unbedenkliche Versionen empfohlen.

(red)