Arista confirma explotación activa de una inyección SQL en VeloCloud Orchestrator local

Arista publicó el 22 de octubre el aviso 0199 para CVE-2026-114625, una inyección SQL en VeloCloud Orchestrator (VCO) instalado en infraestructura propia. La empresa confirmó que conoce explotación activa. CISA incorporó la vulnerabilidad a su catálogo KEV el 23 de octubre y el Centro Canadiense de Ciberseguridad reiteró la alerta. La convergencia entre el proveedor y organismos públicos convierte el aviso en una señal de riesgo operativo, no solo en una puntuación teórica.

Según Arista, cualquier usuario autenticado puede elevar privilegios y hacerse pasar por un operador superusuario local, con acceso a funciones internas que no deberían exponerse remotamente. El efecto potencial abarca confidencialidad, integridad y disponibilidad del orquestador y los datos que administra. El aviso puntúa la falla 9,9 en CVSS 3.1 y 9,4 en CVSS 4.0; esas métricas describen gravedad, pero no demuestran por sí solas que una organización concreta haya sido comprometida.

El aviso delimita el problema a VeloCloud Orchestrator On-Prem. Son vulnerables las ramas 5.2.x anteriores a 5.2.3.18, 6.1.x anteriores a 6.1.3.10 y 6.4.x anteriores a 6.4.2.12. Los equipos que no estén dentro de esos intervalos no quedan afectados según la tabla del fabricante. Arista señala que las versiones alojadas, incluidas las dedicadas, ya habían sido corregidas; el cliente debe verificar el modelo de servicio y no extrapolar la vulnerabilidad a todos los productos con marca Arista.

La explotación requiere autenticación, pero eso no la vuelve inocua: una cuenta legítima de bajo privilegio, credenciales robadas o una sesión comprometida podrían funcionar como punto de entrada. La elevación en el plano de administración de SD-WAN es especialmente relevante porque el orquestador puede gestionar políticas, sedes y dispositivos distribuidos. El aviso no publica una lista de víctimas, indicadores de compromiso ni evidencia de acceso a clientes concretos.

Un compromiso del plano de gestión puede repercutir más allá del servidor que aloja la aplicación. Un atacante con privilegios elevados podría alterar configuraciones, observar datos administrativos o afectar la disponibilidad de la gestión de sucursales. El impacto real dependerá de la exposición de la consola, la segmentación, las cuentas habilitadas, la configuración y la capacidad de recuperación de cada instalación. No debe suponerse automáticamente que el tráfico de todas las sucursales haya sido interceptado o que los routers de otras familias estén vulnerables.

Para organizaciones ecuatorianas que operen VCO localmente, el caso exige identificar rápidamente los activos y propietarios del servicio, incluidos proveedores que lo administren por contrato. Las entidades financieras deben valorar el riesgo sobre continuidad, terceros y redes de oficinas conforme a sus marcos aplicables; la alerta de CISA, dirigida a agencias federales estadounidenses, no impone por sí misma un plazo legal a empresas ecuatorianas.

La fuente técnica principal es el aviso del fabricante, que contiene identificador CVE, puntuaciones, versiones afectadas, versiones corregidas y confirmación explícita de explotación. CISA confirma la inclusión en KEV basada en evidencia de explotación; el aviso canadiense reproduce la actualización y aconseja revisar los enlaces del fabricante. Son corroboraciones sobre la misma vulnerabilidad, no tres incidentes distintos.

Arista indica que el problema fue detectado por la propia empresa. La información pública consultada no detalla el método de explotación, la escala ni el acceso inicial observado. Por ello, no es posible concluir si se abusa mediante credenciales filtradas, cuentas compartidas o fallas en procesos de autenticación de clientes específicos. Un análisis forense local sigue siendo necesario si el sistema estuvo expuesto o presenta cambios anómalos.

Verifique producto, modo de despliegue y versión exacta desde la fuente de inventario y la consola administrativa. Si la instancia local está en una rama afectada, planifique la actualización a 5.2.3.18, 6.1.3.10 o 6.4.2.12, según corresponda, o una versión posterior indicada por Arista. No se debe elegir un paquete por el número mayor sin confirmar compatibilidad con la rama y el procedimiento de soporte.

Mientras se coordina el cambio, limite el acceso de administración a redes de gestión y orígenes explícitamente autorizados, revise cuentas y sesiones privilegiadas y preserve registros antes de rotarlos. Busque creación inesperada de operadores, modificaciones de configuración y accesos fuera de horario. Si la consola estuvo expuesta, trate la actualización como corrección y no como sustituto de la investigación; considere rotar credenciales y secretos relacionados conforme a evidencia.