แจ้งเตือนช่องโหว่ความปลอดภัยระดับวิกฤต (CVSS 9.9) ใน Arista VeloCloud Orchestrator (CVE-2026-114625)
CISA KEV: Arista VeloCloud Orchestrator SQL Injection Vulnerability in Arista VeloCloud Orchestrator (CVE-2026-114625)
ศูนย์รักษาความมั่นคงปลอดภัยไซเบอร์ มหาวิทยาลัยพะเยา ขอแจ้งเตือนช่องโหว่ความปลอดภัยรหัส CVE-2026-114625 ในระบบ Arista VeloCloud Orchestrator (VCO) on-prem ซึ่งเป็นช่องโหว่ SQL Injection และ Authentication Bypass ที่ยอมให้ผู้โจมตีที่ผ่านการตรวจสอบสิทธิ์แล้วสามารถยกระดับสิทธิ์เป็นผู้ดูแลระบบสูงสุด (Superuser Operator) ได้อย่างรีโมท ส่งผลกระทบต่อความลับ ความถูกต้อง และความพร้อมใช้งานของระบบโดยรวม ทั้งนี้ CISA ได้บรรจุช่องโหว่ดังกล่าวลงในรายการ Known Exploited Vulnerabilities (KEV) เนื่องจากพบการโจมตีจริงในระบบสารสนเทศแล้ว
รายละเอียดเชิงเทคนิคของช่องโหว่ (Vulnerability Details)
ช่องโหว่ความปลอดภัยรหัส CVE-2026-114625 มีระดับความรุนแรงตามมาตรฐาน CVSS v3.1 สูงถึง 9.9 (Critical) มี Vector คือ CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H โดยมีลักษณะและกลไกการโจมตีดังนี้:
- ประเภทของจุดอ่อน (CWE): CWE-89 (SQL Injection)
- ระบบที่ได้รับผลกระทบ: Arista VeloCloud Orchestrator (VCO) รุ่นที่ติดตั้งแบบ On-premises รวมถึงรุ่นที่เกี่ยวข้อง
- กลไกการโจมตี (Exploitation Mechanism): ผู้โจมตีที่สามารถเข้าถึงระบบได้ (แม้จะเป็นผู้ใช้งานทั่วไปที่ผ่านการตรวจสอบสิทธิ์แล้ว) สามารถใช้ประโยชน์จากช่องโหว่นี้เพื่อเข้าถึงฟังก์ชันภายในระบบที่มีสิทธิ์สูง ซึ่งไม่ควรเปิดให้เข้าถึงได้จากภายนอก ส่งผลให้ผู้โจมตีสามารถสวมรอยเป็นผู้ดูแลระบบระดับสูงสุด (Superuser Operator) ได้อย่างสมบูรณ์
- ผลกระทบ (Impact): การโจมตีสำเร็จจะส่งผลกระทบต่อความลับ (Confidentiality) ความถูกต้อง (Integrity) และความพร้อมใช้งาน (Availability) ของตัว Orchestrator รวมถึงข้อมูลทั้งหมดที่ถูกบริหารจัดการอยู่ภายในระบบ
แนวทางการปฏิบัติและการบรรเทาผลกระทบ (Mitigation Recommendations)
- อัปเดตแพตช์ความปลอดภัย: ดำเนินการอัปเดตระบบ Arista VeloCloud Orchestrator เป็นเวอร์ชันล่าสุดที่ได้รับการแก้ไขช่องโหวบจากผู้พัฒนาโดยเร็วที่สุด ตามคำแนะนำในประกาศของ Arista Security Advisory
- ตรวจสอบการเข้าถึงจากภายนอก: ประเมินความเสี่ยงและจำกัดการเข้าถึงระบบ On-premises Orchestrator จากอินเทอร์เน็ตภายนอก (Internet Exposure) เท่าที่จำเป็น
- ปฏิบัติตามแนวทาง CISA BOD 26-04: ดำเนินการตามมาตรการจัดลำดับความสำคัญของการอัปเดตความปลอดภัย และปฏิบัติตามข้อกำหนดการตรวจสอบหลักฐานดิจิทัล (Forensics Triage Requirements) หากพบร่องรอยการถูกโจมตีในระบบ
- การพิจารณากรณีไม่มีแพตช์: หากยังไม่สามารถอัปเดตได้ทันที ให้พิจารณามาตรการควบคุมการเข้าถึงชั่วคราว หรือปฏิบัติตามแนวทางของ CISA สำหรับบริการคลาวด์ หรือพิจารณาระงับการใช้งานชั่วคราวจนกว่าจะได้รับการแก้ไข