Los atacantes aprovechan la tercera vulnerabilidad «zero-day» de VeloCloud Orchestrator en cuatro meses

La em­pre­sa Aris­ta Net­works ha lan­za­do ac­tua­li­za­cio­nes para so­lu­cio­nar una vul­ne­ra­bi­li­dad de día cero que está sien­do ex­plo­ta­da ac­ti­va­men­te en su he­rra­mien­ta de ges­tión cen­tra­li­za­da, Ve­lo­Cloud Or­ches­tra­tor (VCO). Este fallo crí­ti­co, ca­ta­lo­ga­do como una in­yec­ción SQL y con una pun­tua­ción de gra­ve­dad muy alta, afec­ta a las ins­ta­la­cio­nes lo­ca­les y per­mi­te que un ata­can­te re­mo­to afec­te al host de VCO, po­nien­do en ries­go la con­fi­den­cia­li­dad, la in­te­gri­dad y la dis­po­ni­bi­li­dad tanto de la pla­ta­for­ma como de su in­for­ma­ción.

El pro­ble­ma po­si­bi­li­ta que cual­quier usua­rio au­ten­ti­ca­do ob­ten­ga pri­vi­le­gios de ope­ra­dor y asuma la iden­ti­dad de un su­per­usua­rio local, al­can­zan­do fun­cio­nes in­ter­nas que no deben ser ac­ce­si­bles de forma re­mo­ta. Aris­ta in­di­có que el in­con­ve­nien­te fue de­tec­ta­do por la pro­pia com­pa­ñía y que las im­ple­men­ta­cio­nes alo­ja­das ya han sido co­rre­gi­das, por lo que instó a los usua­rios a ac­tua­li­zar las ver­sio­nes lo­ca­les vul­ne­ra­bles lo antes po­si­ble, ya que los en­tor­nos están ex­pues­tos por de­fec­to y no exis­te nin­gu­na con­fi­gu­ra­ción capaz de evi­tar dicha ex­po­si­ción.

Para lle­var a cabo las ac­cio­nes ma­li­cio­sas, los ata­can­tes re­quie­ren ac­ce­so a la in­ter­faz web de VCO junto con una se­sión vá­li­da que posea los pri­vi­le­gios mí­ni­mos de in­qui­lino. Los ata­ques de­tec­ta­dos pro­vi­nie­ron de dos di­rec­cio­nes IP es­pe­cí­fi­cas, por lo que se re­co­mien­da a los ad­mi­nis­tra­do­res blo­quear­las, re­vi­sar re­gis­tros en bús­que­da de ano­ma­lías y apli­car las ac­tua­li­za­cio­nes co­rres­pon­dien­tes o se­guir las me­di­das pro­vi­sio­na­les de mi­ti­ga­ción su­ge­ri­das mien­tras se apli­can los par­ches.

Este fallo re­pre­sen­ta el ter­cer pro­ble­ma de se­gu­ri­dad de día cero ex­plo­ta­do que Aris­ta co­rri­ge en la misma he­rra­mien­ta en un pe­rio­do de cua­tro meses, pre­ce­di­do por otras fa­llas des­cu­bier­tas en meses an­te­rio­res. El ar­tícu­lo ori­gi­nal no apor­ta más de­ta­lle sobre otros as­pec­tos de las vul­ne­ra­bi­li­da­des pre­vias.