VeloCloud : Arista corrige une vulnérabilité déjà exploitée

La vulnérabilité référencée CVE-2026-114625 affiche une sévérité critique. Elle permet à des attaquants authentifiés ayant accès à l'interface Web de VeloCloud Orchestrator, mais disposant de droits limités d'élever ces derniers jusqu'au niveau le plus élevé via une injection SQL relativement peu élaborée.

Le correctif est intégré aux versions 5.2.3.18 et plus, 6.1.3.10 et plus, et 6.4.2.12 et postérieures.

Dans sa note technique d'information, Arista indique que cette vulnérabilité est déjà effectivement exploitée. Et de pointer deux adresses IP à partir desquelles des attaques ont été constatées.

Arista recommande d'examiner les activités d'administration sur les systèmes concernées, ainsi que les journaux d'accès à leurs interfaces Web.

L'équipementier suggère également de restreindre les capacités d'accès à ces interfaces Web. Lesquelles, dirait vraisemblablement l'Agence nationale de la sécurité des systèmes d'information, pour la énième fois, n'ont pas nécessairement vocation à être accessibles directement sur Internet par n'importe qui.

Arista a racheté le logiciel SD-WAN VeloCloud à Broadcom en juillet 2025. Ce logiciel faisait précédemment partie du catalogue d’offres de VMware. Cette acquisition a permis à Arista d’élargir ses fonctions réseau, avec une dimension de connectivité sécurisée depuis l’extérieur d’un datacenter, alors que ce fournisseur était surtout connu pour sa capacité à virtualiser des réseaux à l’intérieur du datacenter.

VMware avait lui-même fait l'acquisition de VeloCloud en 2017, à l’époque pour enrichir sa solution de réseau virtualisé NSX d’une couche SD-WAN.