Aktywnie wykorzystywana w atakach

Aviatrix Controller Unrestricted Upload of File

Aviatrix - Aviatrix Controller · Figuruje w katalogu CISA KEV od 2022-01-18. Oznacza to potwierdzone ataki w środowisku produkcyjnym.

Wymagane działanie: Apply updates per vendor instructions.

CVE-2021-40870

KrytyczneCVSS 9.8KEV

Opublikowano: 13/09/2021(UTC)Zaktualizowano: 17/06/2026(UTC)Przetłumaczono: 18/09/2026(UTC)NVD NIST

Streszczenie

Odkryto problem w Aviatrix Controller 6.x przed wersją 6.5-1804.1922. Możliwe jest nieograniczone przesyłanie plików o niebezpiecznym typie, co pozwala nieuwierzytelnionemu użytkownikowi na wykonanie dowolnego kodu poprzez traversal katalogów.

Ocena ryzyka

Ryzyko obejmuje możliwość zdalnego wykonania kodu przez nieuwierzytelnionego atakującego, co może prowadzić do pełnego przejęcia kontrolera Aviatrix.

Rekomendacja

Zaleca się natychmiastową aktualizację Aviatrix Controller do wersji 6.5-1804.1922 lub nowszej oraz ograniczenie dostępu do panelu administracyjnego.

Inne podatności w Aviatrix Controller

CVE-2024-50603KrytyczneAktywnie exploitowane
W Aviatrix Controller przed wersjami 7.1.4191 i 7.2.x przed 7.2.4996 wykryto podatność na wstrzykiwanie poleceń systemu operacyjnego. Z powodu nieprawidłowej neutralizacji specjalnych elementów, nieuwierzytelniony atakujący może wykonać dowolny kod, wysyłając metaznaki powłoki do /v1/api w parametrze cloud_type lub src_cloud_type.

Oryginalny opis (angielski, źródło NVD)

An issue was discovered in Aviatrix Controller 6.x before 6.5-1804.1922. Unrestricted upload of a file with a dangerous type is possible, which allows an unauthenticated user to execute arbitrary code via directory traversal.