VeloCloud Orchestrator SQL-injekciós hibája lehetővé teszi hitelesített felhasználóknak, hogy superuser operátori funkciókhoz férjenek hozzá (CVE-2026-114625)

Mi történt

A CVE-2026-114625 a VeloCloud Orchestrator (VCO) SQL-injekciós sérülékenysége. Érintett helyszíni telepítésen bármely hitelesített felhasználó operátori jogosultságokat szerezhet, és kiadhatja magát a helyi „superuser operator” felhasználónak. Ez hozzáférést ad olyan funkciókhoz, amelyeket kizárólag belső használatra szántak, és amelyeknek nem lenne szabad távolról elérhetőnek lenniük. A sikeres kihasználás veszélyeztetheti az orchestrator és az általa kezelt adatok bizalmasságát, sértetlenségét és rendelkezésre állását.

A CVSS 4.0 pontszám 9,4 (kritikus). A vektor hálózaton keresztüli támadást ír le, amely alacsony jogosultságot igényel, és nem igényel felhasználói beavatkozást; a sérülékeny rendszerre és a támadás későbbi rendszereire egyaránt magas hatást adtak meg a bizalmasság, a sértetlenség és a rendelkezésre állás tekintetében.

A CISA KEV ezt a CVE-t kihasználtként tartja nyilván. A CISA SSVC aktív kihasználást állapít meg, az ENISA EUVD pedig 2026. október 23. óta rögzíti a kihasználást. A CISA KEV szerinti intézkedési határidő 2026. október 26.

Kit érint

A helyszíni VeloCloud Orchestrator-telepítések érintettek. Érintett verziótartományok: 5.2.0-tól az 5.2.3.18 előtti verzióig; 6.1.0-tól a 6.1.3.10 előtti verzióig; 6.4.0-tól a 6.4.2.12 előtti verzióig. Ez a központi orchestrator-összetevő; a sikeres kompromittálás az orchestratort és az általa kezelt adatokat is érinti. A hosztolt verziók – köztük a Dedicated – szintén érintettek voltak, de a gyártó 0199. számú biztonsági közleménye szerint ezeken a rendszereken már telepítették a javításokat.

Mit kell most tenni

1. Frissítse az érintett helyszíni VCO-telepítéseket valamelyik javított kiadásra: 5.2.3.18, 6.1.3.10 vagy 6.4.2.12.
2. Ha hosztolt vagy Dedicated VCO-t használ, erősítse meg a gyártónál, hogy az Ön példánya már megkapta a javítást; a gyártói biztonsági közlemény szerint ezeket már javították.
3. Amíg a javítás nem készült el, korlátozza a VCO felügyeleti felületének hálózati kitettségét, és figyelje a váratlan jogosultságváltozásokat vagy a kizárólag belső használatra szánt funkciók igénybevételét.
4. Kezelje a CISA KEV által megadott határidőt, 2026. október 26-át, a gyártói kockázatcsökkentő intézkedések alkalmazásának végső határidejeként a BOD 26-04 prioritási útmutatója szerint.

Hogyan észlelhető

Vizsgálja át a VCO hozzáférési naplóit, hogy a szokásos hitelesített fiókok szereznek-e operátori jogosultságot, adják-e ki magukat a helyi „superuser operator” fióknak, vagy érnek-e el kizárólag belső használatra szánt funkciókat. Az internetről elérhető VCO-kat kezelje kiemelt prioritásként; a CISA KEV bejegyzése arra kéri az eszközgazdákat, hogy mérjék fel az internetes kitettséget, és kövessék a BOD 26-04 javítási irányelveit.

A javításon túl

Mivel ezt a hibát már aktívan kihasználják, a javítást követően az észlelés és a reagálás az elsődleges prioritás. A Spirity Menedzselt kiberbiztonsági felügyelet (MDR) szolgáltatása figyelheti a jogosultságszint-emelést és a fent leírt, kizárólag belső használatra szánt hozzáférésekkel való visszaélést. A hosszabb távú megerősítéshez a Spirity Bevezetési és felmérési szolgáltatásai arra szolgálnak, hogy az injekciós és hitelesítési hibákat még azelőtt feltárják, mielőtt azok felkerülnének a KEV-listára.