Anoymask

VeloCloud Orchestrator CVE-2026-16812: 未認証OSコマンドインジェクションが積極的に悪用される

1. 基本情報

2. 要約

これはCVSS 10.0の脆弱性です。インターネットから到達可能なオンプレミスVCOのWeb UIに認証なしでアクセスでき、内部限定関数を通じてOSコマンドを実行できます。積極的な悪用が確認されています。

3. 攻撃フロー

  1. 攻撃者がVCO Webインターフェースを検索します。
  2. 攻撃者が認証なしで細工されたリクエストを送信し、内部限定関数に到達します。
  3. 攻撃者がOSコマンドインジェクションによりVCOホスト上でコマンドを実行します。
  4. 攻撃者は設定、デバイスリスト、認証情報、証明書、鍵、データベースなどにアクセスする可能性があります。
  5. 攻撃者はファイル作成、データベースエクスポート、アーカイブ作成、アウトバウンド通信、管理設定の変更を行います。
  6. 推測: 攻撃者は認証と設定パスを悪用してVCOが管理するEdgeデバイスにアクセスし、SD-WAN全体に影響を拡大できる可能性があります。

4. 攻撃者の位置と実行場所

  • 攻撃者はVCO Web UIへのネットワークアクセスを持つ外部ホストです。
  • 初期リクエストはWebレイヤを標的とし、コマンドはオンプレミスVCOホスト上で実行されます。
  • Hosted/Dedicated VCOはすでに修正済みです。VeloCloud GatewayおよびEdge自体はこのCVEの直接的な標的ではありません。

5. 被害者および管理者に対する可視性

  • ユーザー操作やログイン失敗は発生しません。
  • Webログにはエンコードされた文字、URL風のパス、内部サービス参照、高頻度リクエストが表示される可能性があります。
  • ホストには予期しないコマンド、ファイル、データベースエクスポート、アーカイブ、アウトバウンドHTTP(S)トラフィックが残る可能性があります。
  • 管理コンソールに原因不明の設定変更やメンテナンス操作が表示される可能性があります。

6. 成功条件と失敗条件

成功条件

  • 対象が脆弱なオンプレミス版（5.2.3.14、6.1.3.4、6.4.2.4、7.0.0.1より前のバージョン）を実行している。
  • VCO Web UIが攻撃者から到達可能である。
  • WAF、ACL、IPSなどの防御がエクスプロイトリクエストをブロックしていない。

失敗条件

  • 修正版が適用されている、またはHosted/Dedicated版を使用している。
  • Web UIが信頼できる管理ネットワークに制限されている。
  • リクエストまたは後続コマンドが検知・ブロックされている。

7. 成功時に起こること

VCOホストおよび管理データの機密性、完全性、可用性が失われる可能性があります。Aristaは、侵害されたVCOからEdgeデバイスにもアクセスできる可能性があると述べています。パッチは既存の侵害を除去しないため、疑いがある場合は認証情報、証明書、鍵をローテーションし、管理操作を確認し、Edgeの状態を検証し、信頼できるソースからVCOを復元または交換する必要があります。

8. 観測可能なログ

  • メール: 直接関連なし。
  • Proxy/SWG/DNS: VCOを標的とするIOCトラフィック、およびVCOから発信される不明なアウトバウンドHTTP(S)トラフィック。
  • Endpoint/EDR: VCO上の予期しないシェル、コマンド、ファイル、アーカイブ、プロセス。機器にEDRが利用できない場合はOSおよびファイルシステムの保存が必要です。
  • Identity/IdP: 認証は不要です。侵害後の管理者操作、および認証情報・証明書の使用を追跡します。
  • SaaS/Cloud: Hosted/Dedicated版は修正済みです。テナント設定の変更を監査します。
  • ネットワーク: Web UIへの異常リクエスト、内部サービス参照、VCOからの新規エグレストラフィック、VCOからEdgeまたは管理ネットワークへの異常トラフィック。

9. 攻撃成功の判定

フェーズ 判断
接触のみ IOCまたは不明なIPからのWeb UIへのアクセス
悪用試行 異常なパス、エンコード文字、内部サービス参照
初期実行 同一タイムスタンプでの予期しないコマンドおよびプロセス
ホスト侵害 ファイル作成、データベースアクセス、アーカイブ、アウトバウンド通信
データ窃取 エクスポートとアウトバウンド転送の一致
後続侵害 Edge設定変更、認証情報/鍵の使用、他ホストへの移動

IOC一致のみで成功を想定してはいけません。ただし、本CVEは積極的に悪用されているため、悪用試行として直ちに調査してください。

10. 調査プレイブック

  • トリガー: IOC接続、異常なWebリクエスト、VCOエグレストラフィック、原因不明の管理変更。
  • 初期検証: バージョン、露出範囲、最初の異常時刻、Web/バックエンド/システム/データベースログを確認します。
  • エンドポイント: コマンド履歴、プロセス、ファイル、データベースエクスポート、アーカイブ、タイムスタンプを保存します。
  • 認証/クラウド: 管理者、API、Edge認証情報、証明書、鍵の使用履歴を確認します。
  • 後続操作: Edge設定、ルーティング、VPN、管理者、ファームウェア、アウトバウンド通信の差分を比較します。
  • 封じ込め: Web UIを管理ネットワークに制限し、IOCをブロックし、証拠を保存し、パッチを適用し、シークレットをローテーションし、必要に応じてVCOを再構築します。
  • 判定カテゴリ: 露出 / 悪用試行 / ホスト侵害 / データアクセス / Edge影響。

11. 防御および検知のアイデア

  • 単一イベント: IOC、内部サービス参照を含む異常URL、VCOからの新規エグレストラフィック。
  • 時系列相関: 異常Webリクエスト → VCOコマンド → ファイル/データベースエクスポート → アーカイブ → エグレストラフィック。
  • ハンティング: 不明な管理変更、証明書/鍵アクセス、Edgeへの一括変更、VCOからの横移動。
  • ログギャップ: VCO Web、バックエンド、システム、データベースログ、およびファイルタイムスタンプを外部に保存します。
  • 優先アクション: パッチ適用、管理アクセス制限、エグレストラフィック制御、シークレットローテーション、ベースラインとの管理設定照合。

12. 事実 / 推測 / 仮説

事実

  • CVSS 3.1および4.0スコアはいずれも10.0です。認証やユーザー操作は不要です。
  • オンプレミスVCOはデフォルトで露出しており、製品設定だけでこの露出を無効にすることはできません。
  • AristaおよびCISAは積極的な悪用を確認し、攻撃者IPアドレス3つを公開しました。
  • 攻撃手順および攻撃者の身元に関する詳細は公開されていません。

推測

  • VCO内部のシークレットが窃取された場合、パッチ適用後もEdgeおよび管理APIへのアクセスが持続する可能性があります。

仮説

  • 数分以内のWeb異常、VCOエグレス、データベースエクスポートの相関は高信頼度の検知を提供します。

13. MITRE ATT&CKマッピング

  • T1190 公開アプリケーションの悪用 (高)
  • T1059 コマンドおよびスクリプトインタープリタ (高)
  • T1005 ローカルシステムからのデータ収集 (中)
  • T1552 安全でない認証情報 (中 - 認証情報/鍵にアクセスされた場合)
  • T1074 データのステージング (中 - アーカイブが確認された場合)
  • T1041 C2チャネル経由のデータ漏洩 (低 - 転送が確認された場合)
  • T1021 リモートサービス (低 - Edgeまたは他資産への後続アクセスが確認された場合)

14. 不明点および追加調査

  • 正確なHTTPリクエスト、実行ユーザー、Webシェル、追加ペイロード。
  • 悪用開始日、被害者数、攻撃者、窃取データ、Edge侵害の実例。
  • サポート終了バージョンの影響。

15. SOCおよび一般企業への影響

SD-WANを用いて国内外の支社を一元管理する企業、通信事業者、マネージドサービスプロバイダー（MSP）にとって、単一のVCO侵害は多数のEdgeおよび支社通信に影響を及ぼす可能性があります。資産インベントリの確認、管理プレーン向けネットワークセグメンテーション、VCOから可視なシークレットの侵害を前提とした即時ローテーションを優先してください。

16. 役割別要約

  • SOC向け: Web異常、VCOコマンド、データベース/ファイル、エグレストラフィック、Edge変更を単一のタイムラインとして調査します。
  • 管理者向け: 直ちに更新し、Web UIを管理ネットワークに制限します。侵害が疑われる場合はパッチのみに依存せず、鍵、認証情報、Edgeの状態を確認します。
  • ユーザー向け: ユーザー操作は不要です。VCO運用者が異常を発見した場合は、再起動または削除前に証拠を保存し、SOCに連絡してください。