Aktywnie wykorzystywana w atakach

Aviatrix Controllers OS Command Injection Vulnerability

Aviatrix - Controllers · Figuruje w katalogu CISA KEV od 2025-01-16. Oznacza to potwierdzone ataki w środowisku produkcyjnym.

Wymagane działanie: Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.

CVE-2024-50603

KrytyczneCVSS 10.0KEV

Opublikowano: 08/01/2025(UTC)Zaktualizowano: 17/06/2026(UTC)Przetłumaczono: 18/09/2026(UTC)NVD NIST

Streszczenie

W Aviatrix Controller przed wersjami 7.1.4191 i 7.2.x przed 7.2.4996 wykryto podatność na wstrzykiwanie poleceń systemu operacyjnego. Z powodu nieprawidłowej neutralizacji specjalnych elementów, nieuwierzytelniony atakujący może wykonać dowolny kod, wysyłając metaznaki powłoki do /v1/api w parametrze cloud_type lub src_cloud_type.

Ocena ryzyka

Atakujący bez uwierzytelnienia może przejąć kontrolę nad kontrolerem Aviatrix, co może prowadzić do pełnej kompromitacji środowiska chmurowego i dostępu do wrażliwych danych.

Rekomendacja

Zaleca się natychmiastową aktualizację Aviatrix Controller do wersji 7.1.4191 lub nowszej (dla linii 7.1.x) oraz 7.2.4996 lub nowszej (dla linii 7.2.x).

Inne podatności w Aviatrix Controller

CVE-2021-40870KrytyczneAktywnie exploitowane
Odkryto problem w Aviatrix Controller 6.x przed wersją 6.5-1804.1922. Możliwe jest nieograniczone przesyłanie plików o niebezpiecznym typie, co pozwala nieuwierzytelnionemu użytkownikowi na wykonanie dowolnego kodu poprzez traversal katalogów.

Oryginalny opis (angielski, źródło NVD)

An issue was discovered in Aviatrix Controller before 7.1.4191 and 7.2.x before 7.2.4996. Due to the improper neutralization of special elements used in an OS command, an unauthenticated attacker is able to execute arbitrary code. Shell metacharacters can be sent to /v1/api in cloud_type for list_flightpath_destination_instances, or src_cloud_type for flightpath_connection_test.