EXPLOTADA ACTIVAMENTE
CVE-2026-114625 Escalada de privilegios en VeloCloud Orchestrator on-prem
Un atacante remoto autenticado puede acceder a funcionalidad interna privilegiada y afectar el host del VCO, comprometiendo confidencialidad, integridad y disponibilidad del orquestador y sus datos. Cualquier usuario autenticado puede obtener privilegios de operador y hacerse pasar por un usuario "superuser operator" local. Las versiones alojadas, incluidas las Dedicated, ya fueron parcheadas.
Alerta de Nureq Monitor
Detectada 23 OCT · 09:00
CVSS 3.1
9.9CRÍTICACVSS 4.0
9.4 CRÍTICA
PROBABILIDAD DE EXPLOTACIÓN (EPSS)
0,8 % PERCENTIL 57
EXPLOTACIÓN ACTIVA
Sí DESDE 23/10/2026
EXPLOIT PÚBLICO
No conocido
Qué es CVE-2026-114625
Un atacante remoto autenticado puede acceder a funcionalidad interna privilegiada y afectar el host del VCO, comprometiendo confidencialidad, integridad y disponibilidad del orquestador y sus datos. Cualquier usuario autenticado puede obtener privilegios de operador y hacerse pasar por un usuario "superuser operator" local. Las versiones alojadas, incluidas las Dedicated, ya fueron parcheadas.
Productos y versiones afectadas
Arista Networks VeloCloud Orchestrator
Qué hacer
- Verificá si usás VeloCloud Orchestrator y en qué versión: el rango afectado figura arriba.
- Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
- Priorizá la corrección: ya se usa en ataques reales, así que el riesgo de ataque es alto.
- Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.
Calculadora CVSS
CVSS 3.1 · 9.9 CRÍTICA
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
- VECTOR DE ATAQUE (AV)
- Red
- COMPLEJIDAD DEL ATAQUE (AC)
- Baja
- PRIVILEGIOS REQUERIDOS (PR)
- Bajos
- INTERACCIÓN DEL USUARIO (UI)
- Ninguna
- ALCANCE (S)
- Cambiado
- CONFIDENCIALIDAD (C)
- Alta
- INTEGRIDAD (I)
- Alta
- DISPONIBILIDAD (A)
- Alta
CVSS 4.0 · 9.4 CRÍTICA
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H
- VECTOR DE ATAQUE (AV)
- Red
- COMPLEJIDAD DEL ATAQUE (AC)
- Baja
- REQUISITOS DEL ATAQUE (AT)
- Ninguno
- PRIVILEGIOS REQUERIDOS (PR)
- Bajos
- INTERACCIÓN DEL USUARIO (UI)
- Ninguna
- CONFIDENCIALIDAD (SISTEMA VULNERABLE) (VC)
- Alta
- INTEGRIDAD (SISTEMA VULNERABLE) (VI)
- Alta
- DISPONIBILIDAD (SISTEMA VULNERABLE) (VA)
- Alta
- CONFIDENCIALIDAD (SISTEMAS POSTERIORES) (SC)
- Alta
- INTEGRIDAD (SISTEMAS POSTERIORES) (SI)
- Alta
- DISPONIBILIDAD (SISTEMAS POSTERIORES) (SA)
- Alta
Abrir la calculadora completa →
Descripción original
VeloCloud Orchestrator (VCO) on-prem has a security issue where this issue may allow a remote attacker to access privileged internal functionality and impact the VCO host. Successful exploitation may compromise the confidentiality, integrity, and availability of the orchestrator and data managed by the orchestrator.
On an affected system, any authenticated user can gain operator privileges and masquerade as a local "superuser operator" user. This includes access to functionality that is intended for internal use only and which is not intended to be remotely accessible.
Hosted, including Dedicated, versions of VCO were impacted and have already been patched.
Referencias
- www.arista.com/en/support/advisories-notices/security-advisory/24838-security-advisory-01…VENDOR-ADVISORY
- www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-114625GOVERNMENT-RESOURCE
Historial de la alerta
- EXPLOTADA ACTIVAMENTE Incluida en el catálogo de explotación activa de CISA.
CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.