CVE-2026-16812
VeloCloud Orchestrator (VCO) on-prem présente un problème de sécurité qui peut permettre à un attaquant distant d'accéder à des fonctionnalités internes privilégiées et d'agir sur l'hôte VCO. Une exploitation réussie peut compromettre la confidentialité, l'intégrité et la disponibilité de l'orchestrateur ainsi que des données qu'il gère. Cette fonctionnalité était prévue pour un usage interne uniquement et n'a pas vocation à être accessible à distance. Les versions Hosted et Dedicated de VCO ont déjà été corrigées avant la publication de cet avis. Ce problème a été signalé par un tiers et son exploitation active est avérée.
Voir la description d’origine du NIST (anglais)
VeloCloud Orchestrator (VCO) on-prem has a security issue where this issue may allow a remote attacker to access privileged internal functionality and impact the VCO host. Successful exploitation may compromise the confidentiality, integrity, and availability of the orchestrator and data managed by the orchestrator. This functionality was intended to be for internal use only and is not intended to be remotely accessible. Hosted and Dedicated versions of VCO have already been patched in advance of this notice going out. This issue was discovered externally and is known to be actively exploited.
Description traduite automatiquement. Le texte du NIST fait foi.
Ce que ça veut dire
- Exposition
- Exploitable à distance depuis le réseau, sans authentification et sans action de la victime.
- Impact
- Un attaquant peut lire des données sensibles, modifier ou détruire des données et mettre le service hors ligne. L’atteinte déborde du composant vulnérable vers d’autres parties du système.
- Faiblesse
- Une entrée non filtrée atteint le shell du système : l’attaquant exécute ses propres commandes sur le serveur.
- Probabilité
- L’exploitation n’est pas une hypothèse : la CISA l’a constatée en conditions réelles.
À fairePriorité absolue : la CISA fixe l’échéance de remédiation au 30 juillet 2026. Commencer par les instances exposées à Internet.
Lecture automatique du vecteur CVSS, du type de faiblesse (CWE) et du score EPSS. La description technique ci-dessus reste celle publiée par le NIST, en anglais.