VeloCloud Orchestrator ตรวจข้อมูลไม่ครบ ถูกโจมตีแล้ว CVE-2026-93952
ผู้ดูแล VCO แบบ on-prem ที่เข้าข่ายต้องจำกัดการเข้าถึงหน้าเว็บและเร่งติดตั้งรุ่นแก้ เพราะมีการโจมตีจริงแล้ว
1-minute summary
- Symptom / problem
- การตรวจสอบข้อมูลนำเข้าไม่เหมาะสมอาจเปิดทางให้ผู้โจมตีระยะไกลเข้าถึงฟังก์ชันภายในที่มีสิทธิ์สูงและกระทบเครื่อง VCO
- Who should read
- VCO สาย 5.2.x, 6.1.x, 6.4.x และ 7.0.x ตามช่วงรุ่นที่ระบุ โดยมีเงื่อนไข certificate-based authentication จาก Edge ไปยัง VCO
- Fix in short
- อัปเดตเป็น 5.2.3.16 ขึ้นไปในสาย 5.2.3 หรือ 6.4.2.8 ขึ้นไปในสาย 6.4.2 และติดต่อ TAC สำหรับสายที่ยังไม่ระบุรุ่นแก้
พอดีไล่ฟีด CISA KEV เจอประกาศของ Arista เรื่อง VeloCloud Orchestrator หรือ VCO หมายเลข CVE-2026-93952 ลงวันที่ 22 กันยายน 2026 ประเด็นนี้มีการโจมตีจริงแล้ว และ CISA เพิ่มเข้ารายการ KEV ในวันเดียวกัน พร้อมกำหนดเส้นตายดำเนินการไว้ที่ 25 กันยายน 2026 ตาม รายการ KEV ของ CISA
เกิดอะไรขึ้น
ช่องโหว่นี้เกิดจากการตรวจข้อมูลที่รับเข้ามาไม่ครบ หรือ CWE-20 ผู้โจมตีจากระยะไกลอาจเรียกฟังก์ชันภายในที่ต้องใช้สิทธิ์สูงได้ ผลกระทบครอบคลุมทั้งเครื่อง VCO และข้อมูลที่ระบบดูแล คะแนน CVSS ทั้งสองเวอร์ชันอยู่ในระดับ Critical ตาม CVE record ที่ Arista เป็นผู้เผยแพร่
เงื่อนไขสำคัญคือมีการตั้งค่า certificate-based authentication จาก VeloCloud Edge มายัง VCO ผู้โจมตีต้องเข้าถึงส่วนสาธารณะของใบรับรองที่ Edge ใช้ยืนยันตัวตน และเข้าถึงหน้าเว็บ VCO ผ่านเครือข่ายได้ แต่ไม่จำเป็นต้องมีบัญชี tenant หรือ operator รายละเอียดนี้ช่วยแยกขอบเขตความเสี่ยงของแต่ละระบบได้ ตาม เงื่อนไขในประกาศผู้ผลิต
ใครโดนและรุ่นที่แก้
ผู้ดูแล VeloCloud Orchestrator On-Prem ต้องตรวจรุ่นที่ติดตั้งเทียบกับตาราง ส่วนบริการ Hosted รวมถึง Dedicated เคยได้รับผลกระทบ แต่ Arista ระบุว่าแพตช์แล้ว รุ่นที่แก้ด้านล่างอ้างอิง Security Advisory 0183 ของ Arista
| สายรุ่น VCO | รุ่นที่ได้รับผลกระทบในสายนั้น | รุ่นที่แก้ตามประกาศ |
|---|---|---|
| 5.2.x | 5.2.3.15 และต่ำกว่า | 5.2.3.16 ขึ้นไปในสาย 5.2.3 |
| 6.1.x | 6.1.3.7 และต่ำกว่า | ยังไม่ระบุ |
| 6.4.x | 6.4.2.7 และต่ำกว่า | 6.4.2.8 ขึ้นไปในสาย 6.4.2 |
| 7.0.x | 7.0.0.2 และต่ำกว่า | ยังไม่ระบุ |
ข้อมูลรุ่นใน CSAF ของ Arista ต่างจากหน้า advisory: CSAF ระบุว่า release_6.4.2 แก้แล้ว แต่ release_6.4.3.0 ยังไม่แก้ ตารางนี้ใช้เลขแพตช์ที่หน้า advisory ระบุโดยตรง อย่าใช้เลขรุ่นที่สูงกว่าเพียงอย่างเดียวตัดสินว่าได้รับแพตช์แล้ว
Arista ระบุว่า VeloCloud Edge และ VeloCloud Gateway ไม่ได้รับผลกระทบจากช่องโหว่นี้โดยตรง อย่างไรก็ตาม หาก VCO ถูกยึด ผู้โจมตีอาจเข้าถึง Edge ที่ระบบดูแลได้ด้วย ตาม Security Advisory 0183
ต้องทำอะไร
เริ่มจากยืนยันรุ่น VCO และการตั้งค่ายืนยันตัวตน แล้วเร่งอัปเกรดเป็นรุ่นแก้ในสายที่ระบุ สำหรับสายที่ยังไม่มีหมายเลขรุ่นแก้ในประกาศ หรือพ้นระยะสนับสนุน ให้ติดต่อ Arista TAC เพื่อวางเส้นทางอัปเกรด ตาม คำแนะนำการแก้ไขของผู้ผลิต
จำกัดหน้าเว็บ VCO ให้เข้าได้เฉพาะเครือข่ายผู้ดูแลที่เชื่อถือได้ เฝ้าดูการเชื่อมต่อขาออกผิดปกติ พิจารณาปิดพอร์ตขาออกที่ไม่จำเป็น และตรวจหา backdoor หรือ webshell ตามคำแนะนำ Arista
ควรตรวจ web access logs เทียบกับ backend และ system logs ในช่วงเวลาเดียวกัน มองหาคำขอผิดปกติ การเปลี่ยนค่าที่ไม่ตรงกับงานผู้ดูแล หรือการเชื่อมต่อขาออกที่อธิบายไม่ได้ หากสงสัยว่าถูกบุกรุก ให้เก็บ logs และหลักฐานเวลาของไฟล์ก่อนแก้ไขเท่าที่ทำได้ Arista ระบุว่าไม่มีตัวชี้วัดเพียงตัวเดียวที่ใช้ยืนยันการบุกรุกได้ทั้งหมด และแนะนำให้ประเมินการหมุนเวียน credentials ตรวจสถานะอุปกรณ์ที่ดูแล รวมถึงกู้คืนหรือเปลี่ยน VCO จากแหล่งที่เชื่อถือได้ตามความเหมาะสม ดู แนวทางตรวจสอบและรับมือของ Arista
ส่วนตัวผมมองว่าระบบที่เข้าเงื่อนไขควรเร่งแพตช์และจำกัดการเข้าถึงทันที เพราะมีการโจมตีจริงแล้ว ที่มา: CVE-2026-93952, Arista Security Advisory 0183 และ CISA KEV หากมีรายละเอียดรุ่นแก้เพิ่มเติม เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ
Want us to set this up?
Get help with server setup, configuration, migration, or troubleshooting. Save time for the work that matters.
Hit something like this? Stuck somewhere?
Come trade notes on the LinuxThai board
Comments 0
No comments yet — be the first