PT-2025-26596 · Aviatrix · Aviatrix Controller
Louis Dion-Marcil
·
Publicado
2025-06-23
·
Atualizado
2025-07-31
·
CVE-2025-2171
CVSS v4.0
8.8
Alta
| Vetor | AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:L/VA:H/SC:N/SI:N/SA:N |
Nome do Software Vulnerável e Versões Afetadas:
Versões do Aviatrix Controller anteriores a 7.1.4208
Versões do Aviatrix Controller anteriores a 7.2.5090
Versões do Aviatrix Controller anteriores a 8.0.0
Descrição:
O problema diz respeito à falta de limitação de taxa nas tentativas de redefinição de senha no Aviatrix Controller, permitindo que adversários adivinhem por força bruta o PIN de redefinição de senha de 6 dígitos. Isso foi explorado em incidentes reais, nos quais a Mandiant Red Team comprometeu o Aviatrix Controller através de falhas de bypass de autenticação e execução remota de código, obtendo acesso root e chaves da AWS.
Recomendações:
Para versões do Aviatrix Controller anteriores a 7.1.4208, atualize para a versão 7.1.4208 ou superior para aplicar limitação de taxa nas tentativas de redefinição de senha.
Para versões do Aviatrix Controller anteriores a 7.2.5090, atualize para a versão 7.2.5090 ou superior para aplicar limitação de taxa nas tentativas de redefinição de senha.
Para versões do Aviatrix Controller anteriores a 8.0.0, atualize para a versão 8.0.0 ou superior para aplicar limitação de taxa nas tentativas de redefinição de senha.
Como solução alternativa temporária, considere implementar medidas de segurança adicionais para limitar o risco de ataques de força bruta nos PINs de redefinição de senha, como monitoramento de atividade suspeita ou a implementação de um firewall de aplicação web.
Correção
RCE
Improper Restriction of Excessive Authentication Attempts
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Aviatrix Controller