Podniesienie uprawnień z konta do odczytu
Luka bezpieczeństwa dotyczy rozwiązania VeloCloud Orchestrator (VCO), które służy do centralnego zarządzania sieciami VeloCloud SD-WAN. Według informacji przekazanych przez firmę Arista, wykryty błąd typu SQL injection jest aktywnie wykorzystywany przez napastników w atakach.
Podatność umożliwia dowolnej osobie mogącej zalogować się do orkiestratora uzyskanie uprawnień operatora, co oznacza przejęcie najwyższego poziomu kontroli nad systemem. Do przeprowadzenia ataku wystarczy dostęp do zwykłego konta klienta z uprawnieniami ograniczonymi wyłącznie do odczytu.
