Suivi KEV › Autres éditeurs

CVE-2024-50603 Aviatrix Controllers : injection de commandes système

Critique Vulnérabilité activement exploitée, exploitable massivement : la CISA l’a ajoutée à son catalogue KEV le 16 janvier 2025.

  • Produit : Aviatrix Controllers
  • Ajoutée au catalogue : 16 janvier 2025
  • Échéance CISA : 6 février 2025
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-78
  • Gravité : CVSS 9,8 (critique)
  • Probabilité d’exploitation (EPSS) : 99 %

Aviatrix Controllers contient une vulnérabilité d'injection de commandes système qui pourrait permettre à un attaquant non authentifié d'exécuter du code arbitraire. Des métacaractères de shell peuvent être envoyés à /v1/api dans cloud_type pour list_flightpath_destination_instances, ou src_cloud_type pour flightpath_connection_test.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · docs.aviatrix.com

Gravité et exploitation

  • Score CVSS 3.1 : 9,8 sur 10, gravité critique CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
  • Exploitable à distance, par le réseau, sans compte, sans action de la victime.
  • Probabilité d’exploitation dans les 30 jours (EPSS) : 98,5 %, parmi les 0,1 % de CVE les plus susceptibles d’être exploitées
  • Code d’exploitation public : signalé par la NVD.

Versions concernées

  • controller : versions < 7.1.4191
  • controller : versions ≥ 7.2 et < 7.2.4996

D’après la NVD. Vérifiez toujours l’avis de l’éditeur, qui fait foi.

Type de faiblesse

  • Injection de commandes système (CWE-78) : Le produit construit tout ou partie d'une commande système en utilisant des entrées influencées par l'extérieur d'un composant amont, mais il ne neutralise pas ou neutralise incorrectement les éléments spéciaux qui pourraient modifier la commande système prévue avant qu'elle ne soit envoyée à un composant aval.

Chronologie

  1. — Publication de la CVE
  2. — Exploitation confirmée : ajout au catalogue KEV de la CISA
  3. — Échéance de correction pour les agences fédérales américaines

Références

Sources : catalogue KEV de la CISA (CC0), NVD (NIST), EPSS (FIRST.org), CWE (MITRE). Données mises à jour automatiquement.

Texte original de la CISA (anglais)

Aviatrix Controllers OS Command Injection Vulnerability

Aviatrix Controllers contain an OS command injection vulnerability that could allow an unauthenticated attacker to execute arbitrary code. Shell metacharacters can be sent to /v1/api in cloud_type for list_flightpath_destination_instances, or src_cloud_type for flightpath_connection_test.

Required action: Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.

← Toutes les failles des autres éditeurs · Suivi KEV