Alerta de Vulnerabilidade - Arista VeloCloud Orchestrator

Vulnerabilidade de validação de input incorreta (CWE-20) no Arista VeloCloud Orchestrator, com o identificador CVE-2026-93952/EUVD-2026-84296 [1][2][3]. O VeloCloud Orchestrator (VCO) é o servidor que gere e orquestra os dispositivos Edge de uma rede SD-WAN VeloCloud. Por validação insuficiente do input recebido, um atacante remoto alcança funcionalidade interna privilegiada e afeta o host do orquestrador [1].

A exposição depende da configuração: o VCO só é vulnerável quando está ativa a autenticação por certificado dos Edge para o VCO. Para explorar, o atacante necessita de acesso de rede ao interface web do VCO e da porção pública de um certificado de autenticação de um Edge, não sendo necessárias credenciais de tenant ou de operador do VCO [1]. A Arista confirma que a vulnerabilidade está a ser ativamente explorada [1].

É afetado o VeloCloud Orchestrator on-premises nas seguintes ramificações [1]:

• 5.2.x: 5.2.3.15 e anteriores
• 6.1.x: 6.1.3.7 e anteriores
• 6.4.x: 6.4.2.7 e anteriores
• 7.0.x: 7.0.0.2 e anteriores

As versões Hosted e Dedicated do VCO já foram corrigidas pela Arista. O VeloCloud Gateway e o VeloCloud Edge não são afetados [1].

Um atacante remoto não autenticado, sem credenciais do VCO, que disponha de acesso ao interface web e da porção pública de um certificado de Edge, alcança funcionalidade interna privilegiada no orquestrador [1].

A exploração compromete a confidencialidade, integridade e disponibilidade do orquestrador e dos dados que gere. Como o VCO controla a rede SD-WAN, o seu comprometimento pode dar acesso aos dispositivos Edge geridos [1].

Recomenda-se a atualização do VCO on-premises para uma versão corrigida [1]:

• Ramificação 5.2.3: 5.2.3.16 ou posterior
• Ramificação 6.4.2: 6.4.2.8 ou posterior
• Ramificações 6.1.x e 7.0.x: ainda sem correção disponível à data; aplicar quando publicada e contactar o Arista TAC para opções de atualização, incluindo ramificações sem suporte [1][4]

Medidas adicionais de mitigação e deteção [1]:

• Enquanto a correção não é aplicada, restringir o acesso ao interface web do VCO a redes de administração de confiança, monitorizar acessos a partir de IPs maliciosos conhecidos e atividade de saída inesperada do host, bloquear portos de saída desnecessários e vigiar a presença de daemons de backdoor e webshells.
• Não existe um indicador de comprometimento único. Rever os logs de acesso web do VCO para caminhos de URL invulgares, caracteres codificados, referências a serviços internos ou taxas de pedidos elevadas, e os logs aplicacionais e de sistema para execução de comandos, criação de ficheiros, exportação de base de dados ou acesso a configuração, credenciais, certificados e material de chave não esperados.
• Indicadores de comprometimento publicados pela Arista: presença dos ficheiros /usr/local/sbin/.vcnode.js, /usr/local/sbin/vc-sysmond (MD5 dc78e206eaeadec59fc5801fe4556bd0) ou /etc/systemd/system/vc-sysmon.service; o cabeçalho HTTP x-vc-opt nos logs do nginx; ligações a partir dos IPs 142.93.149.77 e 104.248.126.159. Perante qualquer destes indicadores, preservar o estado e os logs do VCO e contactar o Arista TAC.
• Após a correção, e em caso de suspeita de comprometimento, rodar credenciais e material criptográfico, validar o estado dos dispositivos geridos e restaurar ou substituir o orquestrador a partir de uma fonte de confiança, dado que o comprometimento do VCO pode ter exposto os Edge geridos.

[1] - https://www.arista.com/en/support/advisories-notices/security-advisory/24765-security-advisory-0183
[2] - https://www.cve.org/CVERecord?id=CVE-2026-93952
[3] - https://euvd.enisa.europa.eu/vulnerability/EUVD-2026-84296
[4] - https://thehackernews.com/2026/09/new-cvss-100-velocloud-orchestrator.html