CVE-2026-114625 : Arista VeloCloud Orchestrator SQLi CVSS 9.9 — zero-day exploité

Les faits

Le 22 octobre 2026, Arista Networks a divulgué CVE-2026-114625, une injection SQL critique affectant son VeloCloud Orchestrator (VCO), la plateforme de gestion centralisée pour les déploiements SD-WAN d'entreprise. Cette vulnérabilité, notée CVSS 3.1 à 9.9 et CVSS 4.0 à 9.4, permet à tout utilisateur authentifié — y compris les comptes en lecture seule de niveau Enterprise Read Only — d'escalader ses privilèges jusqu'au rôle superopérateur. L'exploitation active dans la nature a été confirmée par Arista Networks dès la publication de l'advisory, ce qui a conduit la CISA à ajouter CVE-2026-114625 à son catalogue des vulnérabilités exploitées connues (KEV), selon les rapports de SOCRadar et SecurityWeek.

D'un point de vue technique, CVE-2026-114625 est classifiée CWE-89 (Improper Neutralization of Special Elements used in an SQL Command). Une requête API spécialement forgée injecte des commandes SQL dans une requête légitime de l'interface de gestion du VCO. L'absence de sanitisation adéquate des paramètres d'entrée permet à l'attaquant de manipuler les requêtes vers la base de données sous-jacente. La faille n'est pas exploitable sans authentification préalable, mais le niveau d'accès requis est minimal : un compte de consultation simple suffit à déclencher l'exploit, ce qui rend la barre d'entrée extrêmement basse pour les attaquants disposant d'identifiants volés ou achetés.

L'escalade obtenue donne accès au rôle d'opérateur local superuser sur l'orchestrateur. Dans l'architecture VeloCloud, l'opérateur possède les droits les plus étendus sur la plateforme : gestion de toutes les entreprises clientes, modification des configurations SD-WAN de toutes les branches, accès aux clés d'authentification des edges, et contrôle total des politiques réseau. Pour un MSP ou un opérateur télécoms gérant des centaines d'entreprises via un seul VCO, la compromission d'un compte à faibles privilèges peut conduire à la compromission de l'intégralité du portefeuille clients.

CVE-2026-114625 s'inscrit dans un contexte préoccupant : c'est le troisième zero-day exploité que corrige Arista dans le composant VCO en l'espace de quatre mois. CVE-2026-16812, divulguée en juillet 2026, et CVE-2026-93952, corrigée en septembre 2026, avaient déjà touché le même produit. Cette récurrence suggère une recherche ciblée et intensive sur la base de code VeloCloud par des acteurs de menace spécialisés dans les équipements de gestion réseau à fort impact, selon les analyses de SOCRadar et de SecurityWeek.

Les déploiements cloud hébergés par Arista ont été patchés automatiquement. En revanche, les instances VCO on-premises — déployées directement dans les datacenters des opérateurs ou des grandes entreprises — nécessitent une intervention manuelle pour appliquer le correctif décrit dans l'Arista Security Advisory 0199. Les versions affectées incluent les branches 6.4.x jusqu'à 6.4.2.12, 6.1.x jusqu'à 6.1.3.10, et 5.2.x jusqu'à 5.2.3.18, selon les rapports de Rescana et Aviatrix.

La technique d'injection SQL exploite le fait que l'API de gestion du VCO ne filtre pas correctement les paramètres transmis dans certains endpoints REST. Des chercheurs de SOCRadar et de Rescana ont documenté que l'exploitation peut être réalisée avec des requêtes HTTP relativement simples, ce qui abaisse considérablement la barre d'entrée pour les attaquants disposant d'un accès réseau à l'interface d'administration. Aucun PoC public détaillé n'a été publié à ce stade, mais la nature de la faille (SQLi classique) facilite le développement d'exploits indépendants par des acteurs disposant de compétences techniques modestes.

L'exposition réseau du VCO est un facteur aggravant significatif. Dans de nombreux déploiements d'entreprise et MSP, l'interface de gestion VCO est accessible via HTTPS depuis internet ou depuis des réseaux partenaires, pour permettre aux administrateurs de gérer les configurations SD-WAN à distance. Cette accessibilité, combinée à la possibilité d'exploiter CVE-2026-114625 avec des droits minimaux, crée un scénario d'attaque particulièrement efficace : l'obtention d'un compte à faibles privilèges (via phishing, credential stuffing ou achat sur un forum cybercriminel) suffit à compromettre l'ensemble de l'infrastructure SD-WAN gérée par l'orchestrateur compromis.

D'après l'analyse de SecurityWeek, les trois zero-days VCO successifs semblent indiquer qu'un ou plusieurs acteurs de menace ont conduit une campagne de recherche approfondie sur la base de code VeloCloud. Le secteur des équipements de gestion réseau (SD-WAN, SASE, SSE) est devenu une cible de choix pour les attaquants qui cherchent à obtenir un accès persistant et central à l'infrastructure réseau de grandes organisations, leur permettant d'intercepter du trafic, de déployer des backdoors sur les edges, ou de préparer des attaques de type supply chain contre les clients finaux.

Impact et exposition

Les organisations les plus exposées sont les opérateurs télécoms, les MSP (Managed Service Providers) et les grandes entreprises qui déploient VeloCloud Orchestrator on-premises pour gérer leurs réseaux SD-WAN. Un attaquant parvenant à obtenir des droits superopérateur peut modifier les configurations de routage de toutes les branches gérées, intercepter du trafic réseau via des politiques de redirection malveillantes, désactiver des segments de réseau entiers, ou exfiltrer les configurations et les clés d'authentification de l'ensemble du déploiement SD-WAN.

Les déploiements cloud Arista (SaaS) sont déjà protégés grâce aux patches automatiques déployés par Arista. Seuls les déploiements on-premises restent vulnérables. L'exploitation active confirmée par Arista signifie que des attaquants ont déjà compromis des instances VCO vulnérables dans des environnements réels. Les organisations opérant VCO on-premises doivent considérer que leur instance peut avoir été compromise avant l'application du patch et effectuer une analyse de compromission approfondie.

La présence dans le catalogue KEV de la CISA implique une obligation de remédiation pour les agences fédérales américaines, mais reflète également le niveau de menace réel pour l'ensemble du secteur privé. Les organisations utilisant VeloCloud dans des secteurs sensibles (énergie, finance, santé, défense, télécoms) doivent traiter cette vulnérabilité comme une priorité absolue, indépendamment des délais réglementaires fédéraux américains.

Recommandations immédiates

• Appliquer immédiatement le correctif décrit dans l'Arista Security Advisory 0199 pour les instances VCO on-premises
• Vérifier la version du VCO depuis l'interface de gestion : System Properties > Software Version
• Restreindre l'accès à l'interface de gestion VCO aux seules adresses IP d'administration connues via ACL réseau ou pare-feu
• Auditer les logs d'activité du VCO (System Events > Operator Events) pour détecter des escalades de privilèges non autorisées depuis le 22 octobre 2026
• Vérifier l'intégrité des configurations de tous les edges VeloCloud gérés par l'orchestrateur
• Révoquer et renouveler les tokens d'authentification des edges et des utilisateurs opérateurs si une compromission est suspectée
• Contacter l'équipe PSIRT d'Arista pour obtenir des indicateurs de compromission spécifiques à CVE-2026-114625