SQL-Injection in VeloCloud Orchestrator ermöglicht authentifizierten Benutzern den Zugriff auf Superuser-Operator-Funktionen (CVE-2026-114625)

Was passiert ist

CVE-2026-114625 ist eine SQL-Injection-Schwachstelle in VeloCloud Orchestrator (VCO). In einer betroffenen lokalen Bereitstellung kann jeder authentifizierte Benutzer Operatorrechte erlangen und sich als lokaler Benutzer „superuser operator“ ausgeben. Dadurch erhält er Zugriff auf Funktionen, die ausschließlich für den internen Gebrauch vorgesehen sind und nicht aus der Ferne erreichbar sein sollten. Eine erfolgreiche Ausnutzung kann die Vertraulichkeit, Integrität und Verfügbarkeit des Orchestrators sowie der von ihm verwalteten Daten beeinträchtigen.

Der CVSS-4.0-Wert liegt bei 9,4 (kritisch). Der Vektor beschreibt einen Angriff über das Netzwerk, der geringe Privilegien und keine Benutzerinteraktion erfordert; sowohl das verwundbare System als auch die nachgelagerten Systeme werden hinsichtlich Vertraulichkeit, Integrität und Verfügbarkeit mit hohen Auswirkungen bewertet.

Die CISA führt diese CVE in der KEV-Liste als ausgenutzt. Die SSVC-Einstufung der CISA bewertet die aktive Ausnutzung, und ENISA EUVD verzeichnet die Ausnutzung seit dem 23. Oktober 2026. Die in der CISA-KEV genannte Frist für Maßnahmen endet am 26. Oktober 2026.

Wer betroffen ist

Betroffen sind lokale Bereitstellungen von VeloCloud Orchestrator. Betroffene Versionsbereiche: 5.2.0 bis vor 5.2.3.18; 6.1.0 bis vor 6.1.3.10; 6.4.0 bis vor 6.4.2.12. Dabei handelt es sich um die zentrale Orchestrator-Komponente; eine erfolgreiche Kompromittierung betrifft den Orchestrator und die von ihm verwalteten Daten. Gehostete Versionen, einschließlich der Dedicated-Versionen, waren betroffen und wurden laut Sicherheitshinweis 0199 des Herstellers bereits mit Sicherheitsupdates versorgt.

Was jetzt zu tun ist

1. Aktualisieren Sie betroffene lokale VCO-Bereitstellungen auf eine korrigierte Version: 5.2.3.18, 6.1.3.10 oder 6.4.2.12.
2. Wenn Sie eine gehostete oder Dedicated-VCO-Instanz nutzen, bestätigen Sie beim Hersteller, dass Ihre Instanz bereits mit Sicherheitsupdates versorgt wurde; der Sicherheitshinweis gibt an, dass diese Versionen bereits gepatcht wurden.
3. Bis die Sicherheitsupdates vollständig eingespielt sind, schränken Sie die Erreichbarkeit der VCO-Verwaltungsoberfläche über das Netzwerk ein und überwachen Sie unerwartete Änderungen von Privilegien oder die Nutzung ausschließlich intern vorgesehener Funktionen.
4. Betrachten Sie die in der CISA-KEV genannte Frist, den 26. Oktober 2026, als Stichtag für die Umsetzung der vom Hersteller bereitgestellten Maßnahmen gemäß der Priorisierungsleitlinie BOD 26-04.

Wie man es erkennt

Prüfen Sie die VCO-Zugriffsprotokolle auf normale authentifizierte Konten, die Operatorrechte erlangen, sich als das lokale Konto „superuser operator“ ausgeben oder auf ausschließlich intern vorgesehene Funktionen zugreifen. Behandeln Sie alle aus dem Internet erreichbaren VCO mit höherer Priorität; der KEV-Eintrag der CISA fordert Asset-Verantwortliche auf, die Erreichbarkeit aus dem Internet zu bewerten und die Richtlinien von BOD 26-04 für das Patchen zu befolgen.

Über den Patch hinaus

Da diese Schwachstelle bereits aktiv ausgenutzt wird, haben Erkennung und Reaktion nach dem Einspielen der Sicherheitsupdates die höchste Priorität. Mit Managed Detection and Response (MDR) von Spirity lassen sich Rechteausweitungen und die missbräuchliche Nutzung des hier beschriebenen, ausschließlich intern vorgesehenen Zugriffs überwachen. Für eine langfristige Härtung sind Implementierungs- und Assessment-Leistungen darauf ausgelegt, Injection- und Authentifizierungsschwachstellen zu finden, bevor sie in die KEV-Liste aufgenommen werden.