KEV
📰 過去報告：10/23
Arista VeloCloud Orchestrator のオンプレミス版において、深刻な SQL インジェクションの脆弱性が確認された。リモートの攻撃者がこの脆弱性を悪用することで、特権が必要な内部機能への不正アクセスや、オーケストレーター・ホストへの直接的な攻撃が可能となる。CISAは本脆弱性が実際に悪用されていることを確認し、既知の悪用された脆弱性カタログ（KEV）に追加した。管理下にあるネットワーク全体の制御権が奪われるリスクがあり、極めて重大な脅威である。CISA は米国の連邦政府機関に、2026年10月26日までの対応を求めている。
10/23 に報告した脆弱性（CVE-2026-114625）が、実際の悪用の確認により CISA の KEV カタログに追加されました。
なぜご自身の組織で確認すべきか悪用が確認された深刻な脆弱性であり、オンプレミス環境で当該製品を運用している場合は早急な修正対応が必要なため。
影響
オーケストレーターおよび管理下にあるデータの機密性、完全性、可用性が侵害される。具体的には、機密情報の漏洩、設定データの改ざん、システムの完全な制御権奪取などを招く恐れがある。
対応策
ベンダーの公開情報: https://www.arista.com/en/support/advisories-notices/security-advisory/24838-security-advisory-0199
