Arista confirme l'exploitation d'une faille zero-day dans VeloCloud Orchestrator, qui permet de devenir opérateur.

Arista a confirmé que des attaquants exploitent activement une faille zero-day dans VeloCloud Orchestrator. En effet, cet outil, abrégé VCO, centralise la gestion des réseaux SD-WAN VeloCloud. L’éditeur a publié son avis de sécurité le 22 octobre. Il s’agit donc d’une injection SQL jugée critique.

Une faille zero-day dans VeloCloud Orchestrator

Une faille zero-day est une vulnérabilité exploitée avant la diffusion d’un correctif. Par conséquent, les administrateurs ont été exposés sans protection officielle au départ. Arista indique également que des attaques sont déjà en cours.

Le défaut est une injection SQL. Ce type de faille survient quand une application traite mal des données saisies. L’attaquant peut alors glisser des requêtes dans la base de données. Ainsi, il peut modifier le comportement normal du système.

Dans ce cas précis, le résultat est une élévation de privilèges. Toute personne capable de se connecter à l’orchestrateur peut en profiter. En effet, même un compte client en lecture seule suffit. Ensuite, cette personne obtient les droits d’opérateur, le niveau de contrôle le plus élevé de la plateforme.

Pourquoi l’élévation de privilèges est si grave

Le VCO est le centre de commande du réseau SD-WAN. Il sert à configurer les équipements et à définir les politiques de trafic. Il gère également les accès des différents clients. Un opérateur dispose donc d’une vision et d’une capacité d’action très larges.

En effet, un compte en lecture seule ne devrait rien pouvoir modifier. Pourtant, la faille efface cette barrière. Un accès modeste devient un accès complet. Par conséquent, cette situation change radicalement le niveau de risque.

Plusieurs scénarios sont envisageables. Toutefois, l’avis ne les détaille pas dans les informations dont nous disposons. Un attaquant pourrait par exemple modifier des configurations réseau. Il pourrait également consulter des données concernant d’autres clients. Par ailleurs, une plateforme de gestion centralisée constitue un tremplin idéal vers d’autres systèmes.

Un prérequis : disposer d’un compte

La faille n’est pas exploitable par n’importe qui depuis Internet. D’abord, il faut pouvoir s’authentifier sur l’orchestrateur. Toutefois, ce prérequis rassure peu. En effet, des identifiants volés ou achetés suffisent à franchir cette étape.

De plus, les environnements multi-clients multiplient les comptes. Les fournisseurs de services gèrent souvent de nombreux utilisateurs aux droits limités. Ainsi, chacun de ces comptes devient une porte d’entrée potentielle.

Ce que l’on sait, et ce que l’on ignore

Les éléments confirmés sont peu nombreux mais clairs. D’abord, le produit concerné est VeloCloud Orchestrator, édité par Arista. Ensuite, la faille est une injection SQL de type zero-day. Son exploitation est également avérée. Enfin, l’avis date du 22 octobre.

En revanche, les informations disponibles ne précisent pas d’identifiant CVE. Elles n’indiquent pas non plus les versions touchées ni l’ampleur des attaques. Nous ne les reprenons donc pas ici. Il faut se référer à l’avis officiel d’Arista pour ces détails.

Cette prudence est importante. En effet, annoncer des versions ou des correctifs non vérifiés pourrait induire les équipes en erreur. Il vaut donc mieux attendre la confirmation de l’éditeur.

Réagir face à l’attaque sur VeloCloud Orchestrator

Les équipes qui exploitent un VCO doivent agir sans attendre. D’abord, il convient de consulter l’avis de sécurité d’Arista. Ensuite, il faut vérifier si une mise à jour ou une mesure d’atténuation est proposée. Les consignes de l’éditeur restent la référence.

Voici des mesures de bon sens, à adapter à chaque environnement :

• Recenser tous les comptes de l’orchestrateur, y compris ceux en lecture seule.
• Désactiver ensuite les comptes inutilisés ou suspects.
• Renouveler également les mots de passe et activer l’authentification multifacteur lorsque c’est possible.
• Restreindre l’accès à l’interface d’administration à des réseaux de confiance.
• Examiner enfin les journaux à la recherche de connexions inhabituelles ou de changements de rôle.

Enfin, il faut contrôler les configurations existantes. En effet, un attaquant ayant obtenu les droits d’opérateur peut avoir laissé des modifications discrètes. Une comparaison avec une sauvegarde saine aide à les repérer.

Ce qu’il faut retenir

• Arista confirme l’exploitation d’un zero-day de type injection SQL dans VeloCloud Orchestrator.
• Un simple compte client en lecture seule permet d’obtenir les privilèges d’opérateur.
• L’avis a été publié le 22 octobre.
• Le niveau de risque est donc élevé, car le VCO pilote l’ensemble du réseau SD-WAN.
• Par conséquent, les administrateurs doivent suivre les consignes d’Arista, limiter les accès et surveiller les journaux.

Cette affaire rappelle un principe simple. Ainsi, les plateformes de gestion centralisée méritent la même vigilance que les équipements en bordure de réseau. En effet, un seul maillon faible peut compromettre toute la chaîne.

Source : Arista Warns of Critical VeloCloud SQL Injection Zero-Day Exploited in Attacks