Abertura
Em 22 de outubro, a Arista informou que uma vulnerabilidade crítica de injeção SQL, ainda sem correção pública, está sendo utilizada por atacantes contra o VeloCloud Orchestrator. A falha afeta o sistema de gerenciamento central das redes SD‑WAN VeloCloud, permitindo que qualquer pessoa que consiga efetuar login, mesmo com credenciais de leitura, eleve seu privilégio para operador, obtendo controle total sobre a infraestrutura.
Contexto
A Arista, reconhecida por soluções de rede de alta performance, adquiriu a tecnologia VeloCloud em 2017 e tem expandido sua oferta de SD‑WAN para atender a empresas que buscam conectar filiais e data centers de forma segura. O VeloCloud Orchestrator funciona como ponto único de administração, onde administradores definem políticas, monitoram tráfego e gerenciam dispositivos distribuídos. Historicamente, vulnerabilidades em plataformas de orquestração têm sido alvos atraentes, pois comprometem múltiplos nós a partir de um ponto central. No caso atual, a falha foi descoberta como zero day, ou seja, sem que a Arista já disponha de patch, e já está sendo explorada ativamente.
Impacto
Organizações que utilizam o VeloCloud Orchestrator em ambientes corporativos ou de provedores de serviços podem enfrentar risco de comprometimento total da rede. Ao obter privilégios de operador, um invasor pode alterar rotas, interceptar tráfego, instalar backdoors ou desativar mecanismos de segurança. Embora a Arista não tenha divulgado números de clientes afetados, a natureza global da solução indica que o alcance pode ser significativo, especialmente em setores que dependem de conectividade constante, como finanças, saúde e manufatura. Até o momento, não há relatos públicos de incidentes confirmados, mas a exploração ativa eleva a probabilidade de incidentes futuros.
Detalhes técnicos
A vulnerabilidade se baseia em uma falha de injeção SQL presente em rotinas de consulta ao banco de dados interno do orquestrador. Quando um usuário autenticado, mesmo que limitado a visualização, submete determinados parâmetros, o código não sanitiza adequadamente a entrada, permitindo que comandos SQL arbitrários sejam executados. Essa execução pode modificar tabelas de controle de acesso, promovendo a conta de leitura para o nível de operador. O vetor de ataque requer apenas credenciais válidas, o que pode ser obtido por meio de phishing, reutilização de senhas ou vazamentos de credenciais em outros serviços. Não há menção a versões específicas vulneráveis, sugerindo que a falha pode estar presente em todas as implantações suportadas até a data do comunicado.
Encerramento
A Arista recomenda que clientes revisem imediatamente as políticas de acesso, restrinjam contas de leitura ao mínimo necessário e monitorem logs de autenticação em busca de atividades suspeitas. Enquanto a empresa trabalha em um patch corretivo, organizações são orientadas a aplicar mitigação temporária, como a desativação de contas de leitura não essenciais e a implementação de autenticação multifator para todos os usuários. O comunicado original da Arista, publicado no site The Hacker News, serve como fonte primária para esta cobertura. O acompanhamento de atualizações de segurança da Arista será essencial para que as empresas possam reduzir a superfície de ataque e proteger suas infraestruturas de rede.