PT-2024-10216 · Aviatrix · Aviatrix Controller
Jakub Korepta
·
Publicado
2024-10-27
·
Atualizado
2026-01-15
·
CVE-2024-50603
CVSS v3.1
10
Crítica
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
Nome do software vulnerável e versões afetadas
Versões do Aviatrix Controller anteriores à 7.1.4191 e versões 7.2.x anteriores à 7.2.4996.
Descrição
Uma vulnerabilidade crítica de injeção de comando no Aviatrix Controller permite que invasores não autenticados executem código arbitrário devido à neutralização inadequada de elementos especiais usados em um comando do sistema operacional. Isso pode ser explorado enviando metacaracteres de shell para
/v1/api em cloud type para list flightpath destination instances ou src cloud type para flightpath connection test. Aproximadamente 3% dos ambientes de nuvem corporativos estão afetados, com invasores explorando essa vulnerabilidade para implantar backdoors e mineradores de criptomoedas.Recomendações
Para resolver o problema em cada versão afetada, atualize para a versão 7.1.4191 ou 7.2.4996 o mais rápido possível para evitar a exploração. Como solução temporária, considere restringir o acesso aos pontos de extremidade da API vulneráveis até que um patch seja aplicado. Além disso, monitore seu ambiente em busca de sinais de exploração e aplique medidas de mitigação para proteger sua organização contra ataques cibernéticos.
Exploit
Correção
LPE
RCE
OS Command Injection
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Aviatrix Controller