VeloCloud Orchestrator

Betroffen ist der VeloCloud Orchestrator von Arista in der selbst betriebenen On-Premises-Variante – die zentrale Verwaltungsplattform für SD-WAN-Netze. Die Software prüft Eingaben, die in Datenbankabfragen einfließen, nicht ausreichend. Dadurch kann ein Angreifer eigene Datenbankbefehle einschleusen (SQL-Injection) und auf interne, privilegierte Funktionen zugreifen, die eigentlich nicht über das Netzwerk erreichbar sein sollen. Jeder bereits angemeldete Benutzer kann sich auf diesem Weg Operator-Rechte verschaffen und sich als lokaler Superuser-Operator ausgeben, also die höchste Berechtigungsstufe der Plattform übernehmen. In der Folge sind Vertraulichkeit, Integrität und Verfügbarkeit des Orchestrators sowie der von ihm verwalteten Daten gefährdet; auch das zugrunde liegende Host-System kann beeinträchtigt werden. Da der Orchestrator ganze Netzwerkumgebungen steuert, reicht die Wirkung über das einzelne System hinaus. Die vom Hersteller gehosteten Varianten einschließlich der dedizierten Ausführungen waren ebenfalls betroffen, wurden aber bereits korrigiert.