SQL-Injection-Schwachstelle in Arista VeloCloud Orchestrator ausgenutzt

TL;DR

• Eine kritische SQL-Injection-Schwachstelle in lokalen Arista VeloCloud Orchestrator-Instanzen ermöglicht es Remote-Angreifern, zentralisierte SD-WAN-Management-Hosts zu kompromittieren [^1].
• Die CISA hat die Schwachstelle in ihren Katalog bekannter ausgenutzter Schwachstellen (Known Exploited Vulnerabilities) aufgenommen, nachdem Berichte über aktive Angriffe auf ungepatchte Unternehmensumgebungen eingingen [^1] [^2].

Hintergrund

Software-Defined Wide Area Networking (SD-WAN) ermöglicht es Unternehmen, komplexe Netzwerke über Hunderte von Niederlassungen hinweg über eine zentralisierte Software-Management-Ebene zu verwalten. Arista VeloCloud Orchestrator fungiert als dieser zentrale Management-Knoten und bietet Netzwerktechnikern eine einheitliche Webkonsole, um Routing-Richtlinien zu übertragen, IPsec-Tunnel zu verwalten und Firewall-Regeln auf Edge-Geräten bereitzustellen. Da der Orchestrator die volle administrative Kontrolle über jeden verbundenen Netzwerkknoten besitzt, erhält ein Angreifer durch die Kompromittierung dieses zentralen Hosts die operative Kontrolle über den gesamten Unternehmensverkehr, der die WAN-Infrastruktur durchläuft.

Was passiert ist

Sicherheitsforscher entdeckten eine schwerwiegende SQL-Injection-Schwachstelle in lokalen Installationen von Arista VeloCloud Orchestrator, die unter der Kennung CVE-2026-114625 geführt wird [^1]. Die Schwachstelle resultiert aus einer fehlerhaften Eingabevalidierung innerhalb der Web-Interface-Komponenten des Orchestrators, bei der benutzergesteuerte Parameter ohne ausreichende Bereinigung oder parametrisierte Abstraktion direkt in rohe Datenbankabfragen verkettet werden [^1]. Dieses Versäumnis ermöglicht es nicht authentifizierten Remote-Angreifern, benutzerdefinierte SQL-Anweisungen direkt über exponierte Web-Applikations-Endpunkte einzuschleusen [^1] [^2].

Wenn die zugrunde liegende Datenbank-Engine diese manipulierten Anfragen ausführt, bricht das Injection-Payload aus der beabsichtigten Abfragestruktur der Anwendung aus [^1]. Ein Angreifer kann interne Datenbanktabellen lesen, ändern oder löschen, in denen der operative Kernzustand, Administrator-Session-Token und verschlüsselte Konfigurationsparameter gespeichert sind [^1] [^2]. In fortgeschrittenen Angriffsszenarien können Angreifer Datenbankberechtigungen nutzen, um Befehle auf Systemebene auf dem Host-Betriebssystem auszuführen und so den Zugriff von einer einfachen Webabfrage auf Remote Code Execution mit erweiterten Root- oder Systemrechten zu eskalieren [^2].

Die Cybersecurity and Infrastructure Security Agency (CISA) reagierte darauf, indem sie CVE-2026-114625 in ihren Katalog bekannter ausgenutzter Schwachstellen aufnahm und bestätigte, dass böswillige Akteure diesen Fehler aktiv in Live-Produktionsumgebungen ausnutzen [^1]. Bedrohungstelemetriedaten deuten darauf hin, dass Angreifergruppen automatisierte Scan-Skripte verwenden, um öffentlich zugängliche VeloCloud Orchestrator-Webportale in Unternehmens-IP-Bereichen zu identifizieren [^1] [^2]. Sobald ein Ziel entdeckt wurde, führen die automatisierten Tools Injection-Payloads aus, die darauf ausgelegt sind, administrative Anmeldedaten zu extrahieren, Authentifizierungsfilter zu umgehen und persistente Backdoors direkt auf dem Management-Host zu etablieren [^1].

Warum es wichtig ist

Zentralisierte Management-Orchestratoren sind erstklassige Ziele für raffinierte Angreifer, da sie als Schlüssel zum Unternehmensnetzwerk fungieren. In modernen, cloudgestützten Netzwerken verlassen sich Sicherheitsteams auf Orchestratoren, um Zero-Trust-Richtlinien durchzusetzen, die Netzwerksegmentierung zu verwalten und die Verteilung interner Verschlüsselungsschlüssel zu handhaben. Wenn ein Angreifer den Orchestrator kompromittiert, ist jede Sicherheitsrichtlinie, die von dieser Software durchgesetzt wird, nicht mehr vertrauenswürdig. Der Angreifer kann Routing-Tabellen ändern, um vertraulichen internen Datenverkehr auf bösartige Abhörstationen umzuleiten, Schadcode-Updates in Zweigstellen-Router einschleusen oder Intrusion-Prevention-Systeme deaktivieren, ohne die Sicherheitsteams zu alarmieren.

Darüber hinaus unterstreicht diese Schwachstelle die extremen operativen Risiken, die mit der Bereitstellung kritischer Management-Ebenen an externen Netzwerkschnittstellen verbunden sind. SQL-Injection-Schwachstellen gehören nach wie vor zu den ältesten und am besten verstandenen Fehlerklassen in der Softwareentwicklung, was ihr Vorhandensein in kritischer Unternehmenssicherheitsinfrastruktur besonders schädlich macht. Unternehmen, die lokale Management-Appliances einsetzen, gehen häufig davon aus, dass eine interne Bereitstellung inhärente Sicherheit bietet, doch operative Fehler oder falsch konfigurierte Firewall-Regeln machen Verwaltungsportale oft aus dem Internet erreichbar. Wenn eine nicht authentifizierte Schwachstelle dieser Größenordnung existiert, ermöglicht ein einziger offener Port externen Angreifern, traditionelle Perimeter-Verteidigungen vollständig zu umgehen.

IT-Abteilungen von Unternehmen, die lokale VeloCloud Orchestrator-Appliances betreiben, müssen sofort handeln. Unternehmen müssen den Zugriff auf Management-Schnittstellen durch strikte Zugriffskontrolllisten oder VPN-Anforderungen einschränken, forensische Audits der Systemprotokolle auf Anzeichen einer Kompromittierung durchführen und offizielle Software-Updates von Arista anwenden, um die zugrunde liegenden Code-Fehler zu beheben [^1] [^2].

Ein Beispiel aus der Praxis

Stell dir vor, du bist der leitende Netzwerktechniker für ein Einzelhandelsunternehmen mit zweihundert Filialen. Dein Team nutzt einen lokalen Arista VeloCloud Orchestrator-Server, um Richtlinien-Updates an Router an jedem Standort zu senden.

An einem Freitagabend entdeckt ein automatisierter Scanner das Web-Management-Portal deines Orchestrators, das unter einer öffentlichen IP-Adresse erreichbar ist. Das Skript sendet eine HTTP-Anfrage mit einem bösartigen SQL-Injection-Payload direkt an einen nicht validierten Parameter auf der Webseite.

Die zugrunde liegende Datenbank führt den Befehl aus und gibt gehashte administrative Anmeldedaten an den Computer des Angreifers aus. Der Angreifer knackt das Hauptpasswort, loggt sich in die zentrale Konsole ein und sendet ein bösartiges Konfigurationsskript an alle zweihundert Filial-Router. Bis Samstagmorgen wird der interne Netzwerkverkehr stillschweigend auf einen vom Angreifer kontrollierten Server umgeleitet, wodurch dein zentraler Orchestrator zu einem unternehmensweiten Einfallstor wird.

Passende Produkte

Wir empfehlen dieses Buch, da es eine umfassende Aufschlüsselung der SQL-Injection-Mechanismen und praktische Techniken zur Sicherung datenbankgestützter Anwendungen bietet.