【ITニュース解説】Arista VeloCloud Orchestrator CVE-2026-114625: a SQL injection that crosses the privilege boundary

Arista VeloCloud Orchestratorというシステムで、CVE-2026-114625という非常に危険な脆弱性が見つかった。この問題は、システムの心臓部ともいえる管理部分に存在し、既に攻撃者による悪用が確認されている。システムの深刻度を示すCVSSスコアは9.9と、ほぼ最高の評価が付けられており、迅速な対応が求められる状況だ。

まず、Arista VeloCloud Orchestrator（VCO）がどのようなシステムか説明する。VCOは、近年普及が進む「SD-WAN」というネットワーク技術を管理するための司令塔のような役割を担う。SD-WANは、企業が複数の拠点間で安定したネットワークを構築したり、クラウドサービスへ効率的に接続したりするために利用される技術で、その設定や監視をソフトウェアで集中管理するのが特徴だ。VCOは、このSD-WAN環境の各拠点に設置される「VeloCloud SD-WANエッジ」という機器の設定や状態監視を担い、ネットワーク全体の運用を支える「管理プレーン」と呼ばれる重要な部分にあたる。

今回の脆弱性は、このVCOの管理機能に存在する「SQLインジェクション」と呼ばれる種類のものだ。SQLインジェクションとは、ウェブアプリケーションの入力欄などに、悪意のある特殊な文字列を意図的に入力することで、アプリケーションが裏側で使っているデータベースに対する命令文（SQL文）を、本来の目的とは異なる内容に書き換えてしまう攻撃手法だ。これにより、攻撃者は通常ではアクセスできない情報を取り出したり、実行できない操作を無理やり実行させたりすることが可能になる。

VCOは複数の顧客（テナント）が利用する「マルチテナント管理システム」として設計されている。これは、一つのシステムを複数の会社が共有して利用できる形式で、それぞれの会社は自分のデータや設定しか見られないように、権限が厳密に分けられている。VCOでは、各ユーザーに「ロール（役割）」が割り当てられており、例えば「Enterprise Read Only」というロールは、顧客のネットワークの状態や設定を見ることはできるが、変更することはできない、最も低い権限のユーザー向けだ。

しかし、今回のSQLインジェクション脆弱性では、この最も低い権限の「Enterprise Read Only」ユーザー、あるいはそれ以上の権限を持つユーザーが、細工されたリクエストをVCOに送ることで、システムのバックエンドで実行されるSQLクエリを改ざんしてしまう。その結果、本来であれば読み取りしかできないはずの低権限ユーザーが、システム全体を管理する「ローカルスーパーユーザー」、つまり「オペレーター」と呼ばれる最高権限のユーザーと同じ操作を実行できてしまうのだ。これが「特権の境界を越える」という表現の意味するところだ。低い権限しか持たないはずのユーザーが、システムの全ての権限を掌握できる状態になってしまうため、CVSSスコアが9.9と非常に高くなる理由もここにある。

この脆弱性の悪用条件は比較的簡単だ。一つはVCOのウェブインターフェースへネットワークで接続できること。Aristaによると、このインターフェースはデフォルトで外部に公開されており、VCOの設定からは無効にできないとのことだ。もう一つは、有効なログイン情報が必要なこと。ただし、前述の通り最も低い権限の「Enterprise Read Only」アカウントでも十分であり、企業環境ではこのような低権限アカウントは多数存在するため、悪用のハードルは低い。過去に報告されたVCOの脆弱性（CVE-2026-16812やCVE-2026-93952）は認証不要で悪用可能だったが、今回の脆弱性は認証が必要なものの、依然として危険性が高い。

攻撃者がオペレーターレベルのセッションを乗っ取ると、そのテナントが所有する全ての顧客のSD-WANネットワーク、つまり「SD-WANファブリック」と呼ばれるネットワーク全体の構成を完全に制御できてしまう。これにより、顧客のネットワーク設定の変更、データの窃取、通信の遮断といった重大な影響が発生する可能性がある。さらに、VCOを動かしているサーバー（ホスト）自体にも影響を与え、オーケストレーターが管理するデータが公開されたり、改ざんされたり、システムが停止させられたりする恐れもある。

この脆弱性の影響を受けるVCOのバージョンは、各リリースシリーズによって異なる。 バージョン5.2系では5.2.3.18より前のバージョンが影響を受け、5.2.3.18以降のバージョンで修正されている。 バージョン6.1系では6.1.3.10より前のバージョンが影響を受け、6.1.3.10以降のバージョンで修正されている。 バージョン6.4系では6.4.2.12より前のバージョンが影響を受け、6.4.2.12以降のバージョンで修正されている。 Aristaが運用する「Hosted Orchestrator」や「Dedicated Orchestrator」は既にAristaによってパッチが適用済みだ。SD-WANエッジデバイスやVeloCloud Gatewayは、この脆弱性の影響を受けない。 重要な点として、以前の脆弱性に対応するために夏季にパッチを適用したシステムであっても、今回の脆弱性には対応できていない場合があるため、最新の修正を適用する必要がある。

この脆弱性への対策は、まず該当するVCOシステムを修正済みのバージョンに速やかにアップグレードすることだ。アップグレードがすぐにできない場合の暫定的な対策として、Aristaは以下のことを推奨している。

VCOのウェブインターフェースへのアクセスを、信頼できる管理用ネットワークからのみに制限すること。 既知の悪意あるIPアドレス（攻撃で確認された74.82.197.86と38.54.50.151など）からの接続がないか、VCOを常に監視すること。 VCOホストから、通常は発生しない外部へのネットワーク通信がないか注意深く監視すること。 通常のVCOの運用に必要のないアウトバウンドポート（外部への通信経路）はブロックすること。 システム内に「バックドアデーモン」と呼ばれる不正なプログラムや、「ウェブシェル」と呼ばれるウェブ経由で遠隔操作されるプログラムが仕込まれていないか確認すること。 最近の管理者による活動ログを確認し、意図しない変更が加えられていないか検証すること。

システムが既に侵害されているかどうかを確認するには、攻撃に使用されたIPアドレスをブロックし、システムログからこれらのIPアドレスからの通信履歴を検索すると良い。また、VCOのウェブアクセスログを調べ、URLに通常とは異なる文字列やエンコードされた文字、内部サービスへの参照、異常に多いリクエストレートなどがないか確認することも重要だ。もし侵害の疑いがある場合は、ウェブアクセスログ、アプリケーションログ、システムログ、データベースログ、そして関連するファイルのタイムスタンプなどを保全し、修正を行う前に証拠を残しておくべきだ。 以前の脆弱性では、VCOが侵害されるとSD-WANエッジデバイスへもアクセス経路が開かれる可能性が指摘されていた。今回の脆弱性の場合も同様のリスクがあるかどうかは明確に述べられていないが、アップグレードした後であっても、以前にアクセス可能だったオーケストレーターについては、オペレーター層の権限設定などを再度徹底的に検証することが重要だ。

今回の脆弱性は、重要な管理システムに存在する深刻な問題であり、既に攻撃が確認されていることから、速やかな対応が求められる。システムエンジニアを目指す上で、このような脆弱性がいかにシステム全体に大きな影響を与えるかを理解し、セキュリティ対策の重要性を常に意識することは非常に重要だ。