==============================================================================
  CISA SUMA A SU CATÁLOGO KEV UNA INYECCIÓN SQL EN ARISTA VELOCLOUD ORCHESTRATOR
==============================================================================

  Fuente:      https://www.vantis.cl/noticias/cisa-kev-arista-velocloud-orchestrator-sql-injection
  Publicado:   2026-10-27  (hora de Chile)
  Ambito:      global   ·   Criticidad: alta
  Descargado:  2026-10-27 13:43  (hora de Chile)

  COMO USAR ESTE ARCHIVO
  ----------------------
  La regla SIGMA es la canonica: es el formato neutral del que se derivan
  las demas. Si tu SIEM no aparece aca, convierte esa con pySigma.

  Las traducciones a motores concretos se incluyen por conveniencia y
  ESTAN SIN VALIDAR CONTRA TU MODELO DE DATOS. Revisa los nombres de
  tabla, indice y campo antes de ponerlas en produccion. Una regla que
  no dispara por un campo mal escrito es peor que no tener regla.

  QUE NECESITAS TENER LOGUEADO
  ----------------------------
  · Logs de WAF o proxy reverso que intermedie el tráfico hacia la consola de administración de VeloCloud Orchestrator
  · Logs de aplicación/auditoría del propio Orchestrator, si el fabricante los expone
  · Logs de firewall perimetral que registren conexiones hacia la IP o FQDN de gestión del Orchestrator

==============================================================================
  REGLA 1 de 3   ·   SIGMA (canonica, neutral)
  Posibles patrones de inyección SQL contra consola de VeloCloud Orchestrator (CVE-2026-114625)
==============================================================================
  Requiere: Ejecutar sobre logs de WAF/proxy que efectivamente intermedien el tráfico hacia la consola de administración de su Orchestrator. Acote por host o IP de destino de esa instancia antes de llevar a producción: sin esa acotación, la regla genera ruido sobre cualquier tráfico HTTP del perímetro que contenga estas cadenas.

title: Posible inyección SQL contra Arista VeloCloud Orchestrator
id: 7e4a1b2c-3d5f-4e8a-9b1c-6f2d8a4e9c17
status: experimental
description: Detecta patrones clásicos de inyección SQL en solicitudes HTTP capturadas por el WAF/proxy frente a la consola de administración de Arista VeloCloud Orchestrator, asociado a CVE-2026-114625 (explotación activa reportada por CISA KEV, sin IOCs públicos). Debe acotarse en producción al host o IP de destino del Orchestrator real del entorno para evitar ruido.
references:
  - https://www.cisa.gov/news-events/alerts/2026/10/23/cisa-adds-one-known-exploited-vulnerability-catalog
  - https://www.cve.org/CVERecord?id=CVE-2026-114625
author: Vantis - Equipo de Análisis de Amenazas
date: 2026/10/24
tags:
  - attack.initial-access
  - attack.t1190
logsource:
  category: webserver
detection:
  selection:
    cs-uri-query|contains:
      - "UNION SELECT"
      - "' OR '1'='1"
      - "' OR 1=1"
      - "SLEEP("
      - "WAITFOR DELAY"
      - "information_schema"
  condition: selection
falsepositives:
  - Escaneos de seguridad autorizados contra el mismo host
  - Pruebas de QA que reutilicen cadenas similares
level: high

==============================================================================
  REGLA 2 de 3   ·   SPLUNK - SPL
  Patrones de SQLi hacia consola de Orchestrator (Splunk)
==============================================================================
  Requiere: index=proxy o index=waf deben apuntar a los sourcetypes donde su WAF/proxy reverso registra el tráfico hacia el Orchestrator. Filtrar por dest_host=<FQDN o IP de su instancia> antes de habilitar alertamiento continuo.

index=proxy OR index=waf
| search uri_query="*UNION SELECT*" OR uri_query="*' OR '1'='1*" OR uri_query="*' OR 1=1*" OR uri_query="*SLEEP(*" OR uri_query="*WAITFOR DELAY*" OR uri_query="*information_schema*"
| table _time, src_ip, dest_host, uri_query, http_status
| sort -_time

==============================================================================
  REGLA 3 de 3   ·   MICROSOFT SENTINEL - KQL
  Patrones de SQLi hacia consola de Orchestrator (Sentinel)
==============================================================================
  Requiere: Requiere que el WAF o firewall de borde frente al Orchestrator esté integrado como fuente de CommonSecurityLog. Ajustar DestinationIP al rango real de la consola de administración.

CommonSecurityLog
| where DeviceVendor in ("Palo Alto Networks", "Fortinet", "Imperva", "F5")
| where RequestURL has_any ("UNION SELECT", "' OR '1'='1", "' OR 1=1", "SLEEP(", "WAITFOR DELAY", "information_schema")
| project TimeGenerated, SourceIP, DestinationIP, RequestURL, DeviceVendor
| order by TimeGenerated desc

==============================================================================
  FALSOS POSITIVOS ESPERABLES
==============================================================================

  Los patrones de inyección SQL usados aquí son genéricos (UNION SELECT, OR
  1=1, SLEEP(, etc.) y pueden aparecer en tráfico legítimo: escáneres de
  seguridad propios, pruebas de QA, o incluso contenido de texto libre en
  formularios no relacionados. Sin acotar el destino al host real del
  Orchestrator, estas reglas generan volumen alto e inútil. Priorice esa
  acotación antes de habilitar alertamiento activo.

==============================================================================
  Vantis Chile SpA  ·  https://www.vantis.cl/noticias
  Analisis con fines defensivos. Reutilizable citando la fuente.
==============================================================================