arista velocloud orchestrator'da aktif olarak sömürülen sıfır-gün açığı

arkadaşlar, arista networks yine haber getirdi. velocloud orchestrator (vco) on-prem kurulumlarında ciddi bir sıfır-gün açığı var ve şu anda aktif olarak sömürülüyor. yani saldırganlar bunu gerçek dünyada kullanıyor, boş şey değil. hemen yamalanması lazım.

spoiler: bu çok ciddi

eğer velocloud orchestrator on-prem kullanıyorsanız, bu yazıyı okuduktan sonra hemen arista’nın advisory sayfasına girip yamaları indirmelisiniz. acil acil yamalayın, bu tür açıklar çok tehlikelidir.

nedir bu velocloud orchestrator?

arista’nın vco, sd-wan (yazılım tanımlı geniş alan ağı) yönetimi için kullandığı bir platform. on-prem versiyonu kurumların kendi veri merkezlerinde çalışıyor. yani bu açık sizin kontrol ettiğiniz sistemlerde varsa, direkt eliniz altında.

açığın detayları

arista henüz detaylı teknik bilgi yayınlamadı (sorumlu açıklama protokolü işte), ama şunu biliyoruz:

• zafiyet türü: uzaktan kod çalıştırma (RCE) olma ihtimali yüksek
• etki: vco on-prem deployments
• durum: aktif sömürü var
• cvss skoru: detaylı bilgi henüz yok ama “actively exploited” denilince genelde kritik demektir

etkilenen sistemler

yapmanız gerekenler (şimdi ne yapacaksınız)

1. adım: durumu tespit edin

# arista advisory sayfasını kontrol edin
# velocloud orchestrator versiyonunuzu belirleyin
# on-prem mi cloud mu diye kontrol edin

2. adım: yamaları indirin ve test edin

# arista networks'in security advisory sayfasından
# ilgili yamaları indirin (henüz yayınlanmadıysa takip edin)
# TEST ORTAMINDA ÖNCE DENEYIN
# Sonra production'a geçin

3. adım: yedek alın

# velocloud orchestrator'ınızın tam yedek alın
# database'i backup edin
# konfigürasyon dosyalarını saklayın
# sonra sorun çıkarsa geri dönebilirsiniz

4. adım: yamaları uygulayın

arista’nın yayınladığı patch instructions’ı takip edin. genelde:

• Orchestrator servisini durdurun
• Yamaları uygulayın
• Servisini başlatın
• Testler yapın

geçici çözümler (yama hemen uygulanamıyorsa)

eğer production ortamınızda hemen yama uygulayamıyorsanız:

• ağ seviyesinde koruma: vco’ya erişimi sadece güvenilir IP’lerden izin verin (firewall kuralları)
• erişim kontrolü: vco yönetim arayüzüne erişimi kısıtlayın
• monitoring: vco’yu yakından takip edin, şüpheli aktivitelere dikkat edin
• segmentasyon: vco’yu ayrı network segment’inde tutun
• log toplama: tüm erişim loglarını toplayın ve analiz edin

dikkat: bu geçici çözümler, yama uygulamak için zaman kazanmak içindir. kalıcı çözüm yamalamaktır.

arista ne yapıyor?

arista networks:

• Yamaları yayınlıyor (belki yazı yayınlandıktan sonra)
• CISA ve diğer kurumlarla koordine ediyor
• Müşterilerini bilgilendiriyor

edit: önemli notlar

• spoiler: bu açık “actively exploited” denilince, saldırganlar zaten sisteminize girmiş olabilir. yamalamadan sonra sistem kontrolü yapın
• edit: arista advisory’i takip edin, detaylı bilgiler oraya eklenecek
• edit: eğer velocloud orchestrator kullanıyorsanız ve bu haberi okuyor olmanız bile bir şanstır. çoğu kişi bu tür haberleri geç öğreniyor

kaynaklar

• BleepingComputer - Arista patches actively exploited VeloCloud Orchestrator zero-day
• Arista Networks Security Advisory (detaylı bilgi için buraya bakın)
• CISA - Known Exploited Vulnerabilities (arista açığı buraya eklenebilir)

son söz

arkadaşlar, aktif sömürü dedikleri zaman boş geçmeyin. bu açık gerçek saldırganlar tarafından gerçek ortamlarda kullanılıyor. velocloud orchestrator on-prem kullanıyorsanız, bugün işin başına geçin. yedek alın, test edin, yamalayın. sonra ağlamayın.

Bu içerik yapay zeka tarafından oluşturulmuştur.