攻击者正在利用 Arista 于 9 月 22 日披露的本地 VeloCloud Orchestrator (VCO) 中的一个新漏洞，该服务器管理 VeloCloud SD-WAN 中的边缘设备。
该漏洞被追踪为 CVE-2026-93952，可能允许没有登录访问权限的远程攻击者特权内部功能并影响 VCO 主机。只有设置为使用证书验证其边缘设备的 Orchestrators 才会受到影响。
截至 9 月 22 日，5.2 和 6.4 版本的修复版本已发布，但 6.1 和 7.0 版本尚未发布。Arista 已经修补了 VCO 的托管和专用版本。受影响的版本包括修复了 Arista 在 7 月报告的另一个 VCO 漏洞的版本，该漏洞被报告为已被利用。
Arista 给该漏洞的 CVSS 3.1 评分为 10.0。成功的攻击可能会危及 Orchestrator 及其管理的数据。被攻陷的 VCO 还可能使攻击者访问其管理的边缘设备。
Arista 表示，该漏洞“是外部发现的，并已知正在被积极利用。”它没有说明攻击何时开始或其传播范围。Hacker News 已联系 Arista 以获取评论。
哪些部署受到影响
VeloCloud 边缘设备可以以三种模式之一向 Orchestrator 进行身份验证。在证书停用模式下，边缘设备使用预共享密钥 (PSK)。在证书获取和证书要求模式下，它使用由 Orchestrator 发出的证书。
Arista 表示，如果“从 VeloCloud Edge 到 VeloCloud Orchestrator (VCO) 配置了基于证书的身份验证”，则 Orchestrator 会受到影响。它没有说明哪种模式符合该条件。攻击者还需要访问 VCO Web 界面和边缘设备身份验证证书的公共部分。
7 月的漏洞不依赖于设置：VCO 默认情况下暴露于此，且没有配置可以防止这种情况。
修复版本
截至 9 月 22 日，以下是每个版本中受 CVE-2026-93952 影响的版本、修复它们的版本以及修复 7 月漏洞的版本：
版本
受 CVE-2026-93952 影响
修复版本
修复 7 月漏洞 (CVE-2026-16812) 的版本
5.2
5.2.3.15 及更早版本
5.2.3.16 及更高版本
5.2.3.14
6.1
6.1.3.7 及更早版本
尚无修复
6.1.3.4
6.4
6.4.2.7 及更早版本
6.4.2.8 及更高版本
6.4.2.4
7.0
7.0.0.2 及更早版本
尚无修复
无修复版本。7.0.0.1 及更高版本未受影响。
Arista 表示，仍在支持中的受影响版本的修复即将推出，并将在准备好时添加到其通知中。使用不受支持版本的客户可以联系 Arista 的技术支持中心 (TAC) 了解升级选项。
如果您暂时无法升级
在安装修复版本之前，Arista 建议采取以下步骤：
限制对 VCO Web 界面的访问，仅限于受信任的管理网络。这可以降低暴露风险。
监控 VCO 是否有来自已知恶意 IP 地址的访问。
监控 VCO 主机的意外出站网络流量。
考虑阻止正常操作不需要的出站端口。
监控后门守护进程和 Web Shell。
审查最近的管理员活动以查找意外更改。
妥协迹象
Arista 表示，没有单一指标可以证明 VCO 是通过此漏洞被攻陷的。检查 VCO Web 访问日志，查找具有不寻常 URL 路径、编码字符、引用本地或内部服务或高请求率的请求。
需要注意的特定指标包括：
文件：/usr/local/sbin/.vcnode.js
文件：/usr/local/sbin/vc-sysmond
MD5 (vc-sysmond)：dc78e206eaeadec59fc5801fe4556bd0
文件：/etc/systemd/system/vc-sysmon.service
nginx 日志中的 HTTP 头：x-vc-opt
IP：142.93.149[.]77
IP：104.248.126[.]159
如果您发现其中任何一个，请保留 VCO 的状态并联系 TAC 或您的 Arista 账户团队。如果您怀疑被攻陷，请在修复任何内容之前保存 VCO 的 Web 访问、后端应用程序、系统和数据库日志及其文件系统时间戳（在可行的情况下）。
Arista 还建议在升级后进行事件响应。这可能包括轮换凭据、审查管理员活动、检查管理的边缘设备状态，以及从受信任的来源恢复或替换 Orchestrator。
觉得这篇文章有趣吗？请在 Google News、Twitter 和 LinkedIn 上关注我们，以阅读更多我们发布的独家内容。