← Toutes les vulnérabilités exploitées (KEV)

Vulnérabilités Arista activement exploitées (KEV)

Les 4 vulnérabilités Arista dont la CISA a confirmé l’exploitation réelle, de la plus récente à la plus ancienne. Textes traduits automatiquement ; la fiche de la CISA fait foi.

CVE-2026-114625 — Arista VeloCloud Orchestrator : vulnérabilité d'injection SQL

  • Produit : Arista VeloCloud Orchestrator
  • Ajoutée au catalogue : 23 octobre 2026
  • Échéance CISA : 26 octobre 2026
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-89
  • Gravité : CVSS 9,4 (critique)
  • Probabilité d’exploitation (EPSS) : 1 %

Arista VeloCloud Orchestrator sur site contient une vulnérabilité d'injection SQL qui pourrait permettre à un attaquant distant d'accéder à des fonctionnalités internes privilégiées et d'affecter l'hôte VCO. Une exploitation réussie pourrait compromettre la confidentialité, l'intégrité et la disponibilité de l'orchestrateur et des données gérées par l'orchestrateur.

Action requise : Appliquer les mesures d'atténuation conformément aux instructions de l'éditeur, en assurant la conformité avec les directives BOD 26-04 de la CISA sur la priorisation des mises à jour de sécurité en fonction du risque (voir l'URL dans les notes) et les « Exigences de triage forensique » de la CISA (voir l'URL dans les notes). Suivre les directives BOD 26-04 applicables pour les services cloud ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles. Les parties prenantes sont responsables d'évaluer l'exposition Internet de chaque actif et d'assurer le respect des directives de correction BOD 26-04.

Références : NVD · CISA · arista.com

CVE-2026-93952 — Arista VeloCloud Orchestrator : validation incorrecte des entrées Critique

  • Produit : Arista VeloCloud Orchestrator
  • Ajoutée au catalogue : 22 septembre 2026
  • Échéance CISA : 25 septembre 2026
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-20
  • Gravité : CVSS 9,5 (critique)
  • Probabilité d’exploitation (EPSS) : 1 %

Arista VeloCloud Orchestrator (VCO) sur site contient une vulnérabilité de validation incorrecte des entrées qui pourrait permettre à un attaquant distant d'accéder à des fonctionnalités internes privilégiées et d'affecter l'hôte VCO. Une exploitation réussie pourrait compromettre la confidentialité, l'intégrité et la disponibilité de l'orchestrateur et des données gérées par l'orchestrateur.

Action requise : Appliquer les mesures d'atténuation conformément aux instructions de l'éditeur, en assurant la conformité avec les directives BOD 26-04 de la CISA sur la priorisation des mises à jour de sécurité en fonction du risque (voir l'URL dans les notes) et les « Exigences de triage forensique » de la CISA (voir l'URL dans les notes). Suivre les directives BOD 26-04 applicables pour les services cloud ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles. Les parties prenantes sont responsables d'évaluer l'exposition Internet de chaque actif et d'assurer le respect des directives de correction BOD 26-04.

Références : NVD · CISA · arista.com

Fiche détaillée : versions, références, chronologie →

CVE-2026-16812 — Arista VeloCloud Orchestrator : injection de commandes système Critique

  • Produit : Arista VeloCloud Orchestrator
  • Ajoutée au catalogue : 27 juillet 2026
  • Échéance CISA : 30 juillet 2026
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-78
  • Gravité : CVSS 10,0 (critique)
  • Probabilité d’exploitation (EPSS) : 2 %

Arista VeloCloud Orchestrator On-Prem contient une vulnérabilité d'injection de commandes système qui pourrait permettre à un attaquant distant d'accéder à des fonctionnalités internes privilégiées et d'affecter l'hôte VCO. Une exploitation réussie pourrait compromettre la confidentialité, l'intégrité et la disponibilité de l'orchestrateur et des données gérées par l'orchestrateur.

Action requise : Appliquer les mesures d'atténuation conformément aux instructions de l'éditeur, en assurant la conformité avec les directives BOD 26-04 de la CISA sur la priorisation des mises à jour de sécurité en fonction du risque (voir l'URL dans les notes) et les « Exigences de triage forensique » de la CISA (voir l'URL dans les notes). Suivre les directives BOD 26-04 applicables pour les services cloud ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles. Les parties prenantes sont responsables d'évaluer l'exposition Internet de chaque actif et d'assurer le respect des directives de correction BOD 26-04.

Références : NVD · CISA · arista.com

Fiche détaillée : versions, références, chronologie →

CVE-2026-7473 — Arista, Extensible Operating System : vulnérabilité de comparaison incomplète avec facteurs manquants

  • Produit : Arista Extensible Operating System
  • Ajoutée au catalogue : 9 juin 2026
  • Échéance CISA : 23 juin 2026
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-1023
  • Gravité : CVSS 6,9 (moyenne)
  • Probabilité d’exploitation (EPSS) : 1 %

Arista Extensible Operating System (EOS) contient une vulnérabilité de comparaison incomplète avec facteurs manquants lorsque le commutateur décapsule et transfère incorrectement d'autres paquets tunnellisés inattendus avec une adresse IP de destination correspondant à son adresse IP de décapsulation configurée.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · arista.com

← Retour au suivi KEV · télécharger tout le catalogue (CSV)