Arista VeloCloud Orchestrator พบ SQL Injection CVE-2026-114625
ผู้ดูแล VeloCloud Orchestrator On-Prem รุ่นที่กระทบควรเร่งติดตั้งแพตช์ เพราะมีการใช้ช่องโหว่โจมตีจริงแล้ว
สรุปใน 1 นาที
- อาการ/ปัญหา
- ผู้โจมตีที่ล็อกอินด้วยสิทธิ์ต่ำอาจยกระดับเป็น superuser operator และเข้าถึงฟังก์ชันภายในได้
- ใครควรอ่าน
- VCO On-Prem สาย 5.2.x, 6.1.x และ 6.4.x ที่ยังไม่ถึงรุ่นแก้ไข
- ทางแก้แบบสั้น
- อัปเดตเป็น 5.2.3.18, 6.1.3.10 หรือ 6.4.2.12 หรือรุ่นใหม่กว่าในสายเดียวกัน พร้อมตรวจสอบร่องรอยการโจมตี
พอดีไล่ฟีด CISA KEV แล้วเจอ CVE-2026-114625 ของ Arista VeloCloud Orchestrator หรือ VCO เป็นช่องโหว่ SQL Injection ในระบบ On-Prem ผมเปิดประกาศผู้ผลิตเทียบแล้ว พบว่ามีการโจมตีจริง บัญชีที่อ่านอย่างเดียวก็อาจใช้ช่องโหว่เพื่อขยับเป็น operator ได้ CISA เพิ่มรายการเมื่อ 23 ตุลาคม 2026 และกำหนดให้หน่วยงานรัฐบาลกลางสหรัฐฯ ที่อยู่ภายใต้ข้อกำหนดแก้ภายใน 26 ตุลาคม 2026 ตาม รายการ KEV ทางการ
เกิดอะไรขึ้น
ช่องโหว่จัดอยู่ใน CWE-89 หรือ SQL Injection ข้อมูลที่ผู้ใช้ส่งเข้ามาอาจเปลี่ยนคำสั่งฐานข้อมูลได้ ผู้โจมตีจากระยะไกลอาจเรียกฟังก์ชันภายในที่มีสิทธิ์สูง ผลกระทบครอบคลุมทั้งเครื่อง VCO และข้อมูลที่ orchestrator จัดการ ข้อมูลอาจถูกอ่าน แก้ไข หรือทำให้ใช้งานไม่ได้ ดูรายละเอียดใน CVE-2026-114625
การโจมตีต้องเข้าถึงหน้าเว็บ VCO และมี session ที่ล็อกอินแล้ว สิทธิ์ขั้นต่ำคือ Enterprise Read Only ซึ่งเป็นบทบาท tenant มาตรฐานระดับต่ำสุด ผู้โจมตีอาจได้สิทธิ์ operator และสวมรอยเป็นผู้ใช้ local แบบ “superuser operator” ได้ รวมถึงเรียกฟังก์ชันที่ตั้งใจให้ใช้ภายในเท่านั้น บัญชีอ่านอย่างเดียวเลยไม่ได้จำกัดความเสียหายไว้แค่การอ่านข้อมูล
Arista ให้คะแนน CVSS v3.1 ที่ 9.9 และ CVSS v4.0 ที่ 9.4 ทั้งคู่ระดับ Critical พร้อมยืนยันว่าตรวจพบการใช้ช่องโหว่โจมตีจริงใน Security Advisory 0199 ลงวันที่ 22 ตุลาคม 2026
ใครโดนและรุ่นที่แก้
ผู้ดูแลต้องตรวจเลขรุ่นของ VCO On-Prem ที่ติดตั้ง แล้วเทียบกับสายรุ่นในตาราง ไม่ควรใช้ชื่อผลิตภัณฑ์หรือรุ่นฮาร์ดแวร์เพียงอย่างเดียวตัดสินความเสี่ยง
| ผลิตภัณฑ์และสายรุ่น | รุ่นที่กระทบ | รุ่นแก้ไขขั้นต่ำ |
|---|---|---|
| VCO On-Prem 5.2.x | ก่อน 5.2.3.18 | 5.2.3.18 |
| VCO On-Prem 6.1.x | ก่อน 6.1.3.10 | 6.1.3.10 |
| VCO On-Prem 6.4.x | ก่อน 6.4.2.12 | 6.4.2.12 |
รุ่นใหม่กว่ารุ่นแก้ไขในสายเดียวกันได้รับการแก้ไขด้วย ส่วนบริการ Hosted รวมถึง Dedicated เคยได้รับผลกระทบ แต่ผู้ผลิตระบุว่าติดตั้งแพตช์แล้ว สำหรับรุ่นที่สิ้นสุดการสนับสนุน ผู้ผลิตยังไม่ได้ประเมินช่องโหว่นี้ ควรติดต่อ TAC เพื่อพิจารณาทางเลือกอัปเกรดไปสายที่รองรับ ไม่ควรตีความว่ารุ่นเก่าที่ไม่อยู่ในตารางปลอดภัย ข้อมูลรุ่นทั้งหมดอ้างอิงจาก ประกาศ Arista
ต้องทำอะไร
เร่งอัปเกรด VCO เป็นรุ่นแก้ไขตามสายที่ใช้งาน และตรวจเลขรุ่นหลังดำเนินการ ระหว่างรอแพตช์ Arista แนะนำให้จำกัดหน้าเว็บ VCO ให้เข้าได้จากเครือข่ายผู้ดูแลที่เชื่อถือได้ เฝ้าระวังการเชื่อมต่อขาออกผิดปกติ พิจารณาปิดพอร์ตขาออกที่ไม่จำเป็น และตรวจการเปลี่ยนแปลงโดยผู้ดูแล รวมถึง backdoor daemon หรือ webshell
ผู้ผลิตระบุว่าไม่มีการตั้งค่าที่ป้องกันการเปิดรับช่องโหว่นี้ได้ การจำกัดเครือข่ายเป็นมาตรการเสริมระหว่างรออัปเกรดตามคำแนะนำ Arista
ควรตรวจ web access log หาคำขอผิดปกติ เช่น path ที่ดูคล้าย URL อักขระเข้ารหัส การอ้างถึงบริการภายใน หรือจำนวนคำขอสูงผิดปกติ หากสงสัยว่าถูกบุกรุก ให้เก็บ web access log, backend application log, system log, database log และเวลาของไฟล์ที่เกี่ยวข้องก่อนแก้ไขเท่าที่สภาพระบบเอื้อ ตาม แนวทางตรวจสอบของ Arista การอัปเกรดควรทำควบคู่กับการตรวจร่องรอย เพราะแพตช์ปิดช่องโหว่ไม่ได้ยืนยันว่าระบบไม่เคยถูกบุกรุก
ส่วนตัวผมให้รายการนี้เป็นงานแพตช์เร่งด่วนสำหรับผู้ที่ใช้รุ่นกระทบ เพราะมีการโจมตีจริงแล้ว ที่มา: CISA KEV — CVE-2026-114625 (https://www.cve.org/CVERecord?id=CVE-2026-114625) และ Arista Security Advisory 0199 หากมีรายละเอียดเพิ่มเติม เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ
อยากให้เราทำให้ไหม?
ให้เราช่วยติดตั้ง ตั้งค่า ย้ายระบบ หรือแก้ปัญหาเซิร์ฟเวอร์ เพื่อให้คุณมีเวลาไปทำงานที่สำคัญกว่า
เคยเจองานแบบนี้ไหม? ติดตรงไหน?
มาแลกวิธีกันต่อในบอร์ด LinuxThai
ความคิดเห็น 0
ยังไม่มีความคิดเห็น — เป็นคนแรกเลย