CVE-2026-16812
Arista VeloCloud Orchestrator On-Prem OS Command Injection Vulnerability
Beschreibung
CVE-2026-16812 ist eine OS-Command-Injection-Schwachstelle in On-Premises-Installationen von Arista VeloCloud Orchestrator (VCO), die ausschließlich intern gedachte Funktionalität für entfernte Angreifer erreichbar macht. Funktionalität, die niemals aus der Ferne zugänglich sein sollte, lässt sich über das Netzwerk ansprechen; ein Angreifer kann damit privilegierte interne Operationen aufrufen und den VCO-Host selbst beeinträchtigen, was Vertraulichkeit, Integrität und Verfügbarkeit des Orchestrators sowie aller von ihm verwalteten Daten kompromittiert. Mit einem CVSS-Wert von 10.0 (Kritisch) — dem Maximum, getrieben durch einen geänderten Scope zusätzlich zum nicht authentifizierten Netzwerkzugriff — ist CVE-2026-16812 so schwerwiegend, wie eine web-exponierte Schwachstelle sein kann, und Arista erklärt, der Fund sei extern erfolgt und die Lücke werde nachweislich aktiv ausgenutzt. Hosted- und Dedicated-VCO-Instanzen hat Arista bereits vor der Veröffentlichung gepatcht, die verbleibende Exponierung liegt daher bei Kunden mit eigenem On-Premises-Betrieb. CISA hat CVE-2026-16812 mit Frist 30.07.2026 in den KEV-Katalog aufgenommen.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| arista | velocloud orchestrator | >= 5.2.0, < 5.2.3.14; >= 6.1.0, < 6.1.3.4; >= 6.4.0, < 6.4.2.4; 7.0.0 |
Referenzen
- https://www.arista.com/en/support/advisories-notices/security-advisory/24364-security-advisory-0144(Mitigation, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-16812(US Government Resource)
Schwachstellentyp
CWE-78: Unsachgemäße Neutralisierung von Spezialelementen in einem OS-Befehl ('OS Command Injection')
OS Command Injection tritt auf, wenn Software einen Betriebssystembefehl aus extern beeinflussten Eingaben zusammensetzt und es versäumt, die Spezialelemente zu neutralisieren — Semikolons, Pipes, Backticks, Subshell-Syntax —, die verändern können, was die Shell tatsächlich ausführt. In VeloCloud Orchestrator bedeutet die Exponierung interner Funktionalität gegenüber entfernten Aufrufern, dass angreiferkontrollierte Eingaben eine privilegierte Befehlsausführung auf dem VCO-Host erreichen: Der Angreifer kann Befehle mit den Betriebssystemrechten des Orchestrators ausführen und nicht bloß eine Anwendungsfunktion missbrauchen.
Mehr erfahren: CWE-78 — Unsachgemäße Neutralisierung von Spezialelementen in einem OS-Befehl ('OS Command Injection')
Auswirkungsanalyse
CVE-2026-16812 erreicht einen CVSS-3.1-Basiswert von 10.0 (Kritisch), weil jede Ausnutzbarkeitsmetrik im schlechtesten Zustand ist und sich zusätzlich der Scope ändert: Die Schwachstelle ist aus der Ferne ohne physischen Zugriff ausnutzbar, leicht auszunutzen ohne besondere Voraussetzungen, benötigt keine Authentifizierung, keine Benutzerinteraktion und kann Ressourcen jenseits der verwundbaren Komponente betreffen. Vertraulichkeit (Hoch): Der Orchestrator hält Konfiguration, Zugangsdaten und Topologie des gesamten SD-WAN-Bestands einer Organisation — all das wird lesbar. Integrität (Hoch): Befehlsausführung auf dem VCO-Host erlaubt es, das Verhalten des Orchestrators zu verändern und Änderungen auszurollen, die sich auf die verwalteten Edges fortpflanzen. Verfügbarkeit (Hoch): Derselbe Zugriff erlaubt es, den Orchestrator und damit die zentrale Steuerung des WAN außer Betrieb zu setzen. Entscheidend ist der geänderte Scope (S:C): VCO ist eine Management-Ebene, eine Kompromittierung endet also nicht bei einem Host, sondern reicht bis zu den gesteuerten Netzwerkgeräten. Aristas Bestätigung der aktiven Ausnutzung und der KEV-Eintrag bedeuten, dass ein aus dem Internet erreichbarer On-Premises-VCO als laufender Vorfall und nicht als geplanter Patch zu behandeln ist.
Exploit-Reifegrad
Die aktive Ausnutzung von CVE-2026-16812 ist durch zwei unabhängige Quellen bestätigt: Arista erklärt im eigenen Advisory, der Fund sei extern erfolgt und die Lücke werde nachweislich aktiv ausgenutzt, und CISA hat die CVE mit Frist 30.07.2026 in den Katalog der Known Exploited Vulnerabilities aufgenommen; ein Einsatz durch Ransomware ist derzeit als unbekannt eingestuft. In den vorliegenden Referenzen ist kein öffentlicher Exploit-Code verlinkt — veröffentlicht sind das Arista Security Advisory und der CISA-KEV-Eintrag —, was bei einer nicht authentifizierten Befehlsausführung mit CVSS 10.0, die Angreifern bereits vorliegt, kaum beruhigt. Der EPSS-Wert von 0,88 % (55,6. Perzentil) bleibt hier hinter der Realität zurück, denn EPSS spiegelt beobachtetes breites Scan-Volumen und nicht die Schwere oder den bestätigten gezielten Einsatz; dass Arista seine Hosted- und Dedicated-Umgebungen vor der Veröffentlichung gepatcht hat, zeigt, wie hoch der Hersteller das Risiko einschätzt. On-Premises-Betreiber sollten sofort patchen und bis zum Abschluss der Triage von einer Kompromittierung ausgehen.
Behebung
- Befolgen Sie die von CISA im KEV-Katalog geforderte Maßnahme: Mitigationen gemäß Herstelleranweisungen anwenden, unter Einhaltung der BOD-26-04-Vorgaben zur risikobasierten Patch-Priorisierung und der „Forensics Triage Requirements" von CISA — oder den Einsatz des Produkts einstellen, falls keine Mitigationen verfügbar sind. Die KEV-Frist ist der 30.07.2026.
- Patchen Sie den On-Premises-VeloCloud-Orchestrator gemäß Arista Security Advisory 0144. Betroffen sind Builds ab 5.2.0 bis unter 5.2.3.14, ab 6.1.0 bis unter 6.1.3.4, ab 6.4.0 bis unter 6.4.2.4 sowie 7.0.0 — aktualisieren Sie auf 5.2.3.14, 6.1.3.4, 6.4.2.4 oder den korrigierten 7.0-Build. Hosted- und Dedicated-VCO-Instanzen hat Arista bereits gepatcht, hier ist keine Kundenaktion nötig.
- Setzen Sie die im Arista-Advisory beschriebene Mitigation ein, wo sofortiges Patchen nicht möglich ist, und sperren Sie den externen Zugriff auf die interne Funktionalität, indem Sie das VCO-Management-Interface hinter eine Firewall oder einen Reverse Proxy legen, der nur bekannte administrative Quellen zulässt.
- Führen Sie auf dem VCO-Host eine forensische Triage gemäß CISA-Vorgaben durch: Web- und Anwendungslogs auf Anfragen an ausschließlich interne Routen prüfen, Prozess-Accounting auf unerwartete Shell-Kindprozesse des Orchestrator-Dienstes kontrollieren und nach neuen Dateien, Cron-Einträgen oder Konten suchen, da die aktive Ausnutzung bestätigt ist und ein erfolgreicher Angriff Befehlsausführung liefert.
- Zur langfristigen Härtung gegen OS Command Injection (CWE-78): Shell-Aufrufe aus Anwendungscode vermeiden, stattdessen Sprach-APIs oder parametrisierte Prozessausführung mit Argument-Arrays statt Shell-Strings nutzen und Allowlist-Validierung für jede Eingabe erzwingen, die eine Prozessausführung erreicht — verbunden mit Netzsegmentierung, damit ausschließlich interne Endpunkte aus nicht vertrauenswürdigen Netzen konstruktiv unerreichbar sind.
Technische Details
Ursache von CVE-2026-16812 ist, dass VeloCloud Orchestrator On-Premises Funktionalität, die nur für den internen Gebrauch gedacht war, entfernten Aufrufern zugänglich macht, und dass diese Funktionalität zur Ausführung von Betriebssystembefehlen auf dem VCO-Host führt (CWE-78). OS Command Injection entsteht, wenn ein Befehls-String aus extern beeinflussten Eingaben zusammengesetzt wird, ohne Shell-Metazeichen zu neutralisieren: Die Daten des Angreifers werden als Befehlssyntax interpretiert und mit den Rechten des aufrufenden Dienstes ausgeführt. Der Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H erklärt, warum der Wert 10.0 erreicht: Die Anfrage kommt über das Netzwerk (AV:N), ohne besondere Voraussetzungen (AC:L), ohne Rechte (PR:N) und ohne Benutzerinteraktion (UI:N), während die Auswirkung auf Vertraulichkeit, Integrität und Verfügbarkeit durchgehend „Hoch" ist. Die Metrik S:C hält fest, dass die Kompromittierung eine Sicherheitsgrenze überschreitet — der Orchestrator verwaltet weitere Systeme, Codeausführung dort betrifft also Ressourcen jenseits der verwundbaren Komponente. Da der exponierte Pfad nie von außen erreichbar sein sollte, liegt zwischen einem internetseitigen VCO und privilegierten internen Operationen keine Authentifizierungs- oder Autorisierungsprüfung.
Häufig gestellte Fragen
Wird CVE-2026-16812 aktiv ausgenutzt?
Ja. Arista erklärt im eigenen Advisory, die Schwachstelle sei extern entdeckt worden und werde nachweislich aktiv ausgenutzt, und CISA führt CVE-2026-16812 mit Behebungsfrist 30.07.2026 im Katalog der Known Exploited Vulnerabilities. Ein Einsatz durch Ransomware ist derzeit als unbekannt eingestuft, und der EPSS-Wert von 0,88 % spiegelt begrenztes beobachtetes Massen-Scanning wider, nicht einen Zweifel an der realen Ausnutzung.
Welche Produkte sind von CVE-2026-16812 betroffen?
Betroffen ist der On-Premises-Arista-VeloCloud-Orchestrator (VCO) in den Versionen 5.2.0 bis unter 5.2.3.14, 6.1.0 bis unter 6.1.3.4, 6.4.0 bis unter 6.4.2.4 sowie Version 7.0.0. Hosted- und Dedicated-Versionen von VCO hat Arista vorab gepatcht, sie sind nicht exponiert.
Wie behebe ich CVE-2026-16812?
Aktualisieren Sie den On-Premises-VCO gemäß Arista Security Advisory 0144 auf 5.2.3.14, 6.1.3.4, 6.4.2.4 oder den korrigierten 7.0-Build und setzen Sie die Übergangs-Mitigation des Herstellers ein, falls Sie nicht sofort patchen können. Da die Lücke Befehlsausführung auf dem VCO-Host erlaubt, sollten Sie zusätzlich den Netzwerkzugriff auf das Management-Interface beschränken und den Orchestrator vor der Rückkehr in den Normalbetrieb forensisch prüfen.
Wie schwerwiegend ist CVE-2026-16812?
CVE-2026-16812 ist mit einem CVSS-3.1-Basiswert von 10.0 als Kritisch eingestuft — dem höchstmöglichen Wert. Die Lücke verbindet nicht authentifizierte Ausnutzung aus der Ferne mit hoher Auswirkung auf Vertraulichkeit, Integrität und Verfügbarkeit sowie einem geänderten Scope: Eine einzige Anfrage kann den Orchestrator kompromittieren und bis in die von ihm verwaltete SD-WAN-Infrastruktur reichen. Der EPSS-Wert liegt im 56. Perzentil, doch die bestätigte Ausnutzung in freier Wildbahn erfordert unabhängig davon sofortiges Handeln.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.