CVE-2026-16812

Суть уязвимости

Уязвимость CVE-2026-16812 связана с недостаточной фильтрацией входных данных в Arista VeloCloud Orchestrator On-Prem, что приводит к возможности внедрения команд операционной системы (OS Command Injection). Удаленный злоумышленник может отправить специально сформированный запрос к веб-интерфейсу или API оркестратора для выполнения произвольного кода с привилегиями системного уровня на хосте VCO. Успешная эксплуатация уязвимости полностью компрометирует конфиденциальность, целостность и доступность самого оркестратора, а также всех управляемых им сетевых сегментов и данных.

Как исправить

Установите официальное обновление безопасности от производителя Arista, устраняющее уязвимость CVE-2026-16812. Перед проведением работ создайте резервную копию конфигурации оркестратора и сделайте снимок (snapshot) виртуальной машины VCO. Для проверки текущей версии установленных компонентов используйте команду:

rpm -qa | grep -i velocloud

Выполните обновление системы до актуальной версии через консоль управления или пакетный менеджер в соответствии с официальным руководством вендора.

Временные меры

Ограничьте доступ к портам управления оркестратора (TCP 443 и TCP 8443) на сетевом уровне, разрешив подключения только из доверенного сегмента администрирования (Management VLAN / VPN). Для ограничения доступа непосредственно на хосте VCO с помощью iptables (например, разрешить доступ к порту 443 только для подсети 192.168.1.0/24) примените команду:

iptables -I INPUT -p tcp --dport 443 ! -s 192.168.1.0/24 -j DROP

Настройте правила на межсетевом экране веб-приложений (WAF) для фильтрации входящих HTTP/HTTPS-запросов на предмет наличия спецсимволов внедрения команд ОС. Настройте отправку системных журналов (syslog) во внешнюю SIEM-систему и создайте правила корреляции для обнаружения запуска нетипичных дочерних процессов веб-сервера.