「VeloCloud Orchestrator」に深刻な脆弱性 - すでに悪用も

「VeloCloud Orchestrator（VCO）」にリモートから侵害されるおそれがある深刻な脆弱性が明らかとなった。すでに悪用が確認されている。

Arista Networksは現地時間9月22日にセキュリティアドバイザリを公開。入力値の検証不備に起因し、本来は高い権限を必要とする内部機能に認証なしでアクセスでき、ホストや管理データの機密性、完全性、可用性が損なわれるおそれがある脆弱性「CVE-2026-93952」について明らかにした。

証明書ベースの認証が構成されており、「VeloCloud Edge」の認証証明書の公開部分や「VCO」のウェブインタフェースへアクセスできる場合に脆弱性を悪用されるおそれがあり、認証情報を必要とすることなくリモートから侵害することが可能になるという。

共通脆弱性評価システム「CVSSv4.0」のベーススコアは「9.5」、「CVSSv3.1」では最高値となる「10.0」と評価されている。外部より報告を受けたとしており、同社は実際に悪用されていることを確認したとしている。

ホスティング版についても同脆弱性が存在したが、すでに修正済みだという。オンプレミス版に向けてはアップデート「同6.4.2.8」「同5.2.3.16」を提供。サポート期間内の他ブランチについても、修正版の提供に向けて準備を進めている。

（Security NEXT - 2026/09/23 ）ツイート