Contexte de la vulnérabilité
Le serveur on‑premises VeloCloud Orchestrator (VCO) gère les appareils Edge d’un SD‑WAN VeloCloud. Le 22 septembre 2026, Arista a publié la première analyse d’une faille identifiée sous le numéro CVE‑2026‑93952. Cette vulnérabilité obtient un score CVSS 3.1 de 10.0, le maximum, ce qui indique une exploitation possible sans authentification préalable. La faille ne concerne que les orchestrateurs configurés pour authentifier leurs Edges via certificats, un mode couramment utilisé pour renforcer la sécurité des communications.
Les versions affectées comprennent les branches 5.2 (jusqu’à 5.2.3.15) et 6.4 (jusqu’à 6.4.2.7). Les branches 6.1 et 7.0 restent vulnérables mais n’ont pas encore reçu de correctif au moment de la publication. Arista a déjà publié des correctifs pour les trains 5.2 et 6.4, ainsi que pour les versions hébergées et dédiées du VCO.
Mécanisme d'exploitation
Un attaquant doit d’abord disposer d’un accès réseau à l’interface web du VCO et posséder la partie publique du certificat d’authentification d’un Edge. Dans ce contexte, le serveur accepte des requêtes manipulées qui déclenchent l’exécution de fonctions internes réservées aux processus privilégiés. Le résultat est une prise de contrôle du VCO, permettant de lire, modifier ou supprimer les configurations des Edge, voire d’injecter du code malveillant dans les services backend.
Le vecteur d’attaque repose sur l’absence de validation stricte des paramètres transmis via l’interface web. Aucun mécanisme d’isolation entre le module de gestion des certificats et les fonctions d’administration n’est appliqué, ce qui crée une surface d’exposition directe. La combinaison de l’accès réseau et du certificat public constitue le point d’entrée unique identifié par Arista.
Correctifs et mesures d’atténuation
Les correctifs publiés pour les trains 5.2.3.16+ et 6.4.2.8+ corrigent la validation des entrées et renforcent le contrôle d’accès aux API internes. Arista recommande aux clients qui ne peuvent pas appliquer immédiatement ces versions de restreindre l’accès à l’interface web du VCO aux réseaux d’administration de confiance, de bloquer les ports sortants non indispensables et de surveiller les flux réseau inhabituels. La mise en place de listes blanches d’adresses IP et la segmentation du réseau limitent la probabilité qu’un acteur externe atteigne le VCO.
Pour les déploiements sur les trains 6.1 et 7.0, Arista indique que des correctifs sont en cours de développement et seront publiés dès que possible. En attendant, les pratiques de durcissement décrites dans le bulletin de sécurité restent la seule défense viable.
Détection et réponses post‑compromission
Arista ne fournit pas d’indicateur unique de compromission, mais indique plusieurs artefacts à rechercher dans les journaux du VCO : les fichiers /usr/local/sbin/.vcnode.js et /usr/local/sbin/vc‑sysmond, le hash MD5 dc78e206eaeadec59fc5801fe4556bd0 associé à vc‑sysmond, ainsi que les en‑têtes HTTP x‑vc‑opt dans les logs nginx. Deux adresses IP suspectes (142.93.149.* et 104.248.126.*) ont été signalées comme sources potentielles d’attaque.
En cas de suspicion, il faut conserver les logs d’accès, les journaux système et les horodatages du système de fichiers avant toute intervention. Après la mise à jour, il est conseillé de réinitialiser les identifiants, de vérifier l’intégrité des Edge gérés et, si nécessaire, de restaurer le VCO à partir d’une image de confiance.
