CVE-2024-50603
Kritik CISA KEV: Aktif İstismarTeknik Veri (Otomatik)
- CVSS Skoru
- 10
- EPSS
- 98.5%
- CWE
- CWE-78
- KEV Durumu
- Evet
Yayım tarihi: 8 Ocak 2025 · CISA KEV son iyileştirme tarihi: 6 Şubat 2025
Etkilenen: aviatrix controller
Aviatrix Controller 7.1.4191 ve 7.2.x 7.2.4996 sürümlerinden önceki sürümlerde bir sorun bulundu. Bir OS komutunda kullanılan özel öğelerin uygun şekilde nötrleştirilmemesi nedeniyle, kimlik doğrulamış olmayan bir saldırgan任意 kod çalıştırabilir. Kabuk meta karakterleri, list_flightpath_destination_instances için cloud_type veya flightpath_connection_test için src_cloud_type aracılığıyla /v1/api'ye gönderilebilir.
Orijinal açıklama (İngilizce)
An issue was discovered in Aviatrix Controller before 7.1.4191 and 7.2.x before 7.2.4996. Due to the improper neutralization of special elements used in an OS command, an unauthenticated attacker is able to execute arbitrary code. Shell metacharacters can be sent to /v1/api in cloud_type for list_flightpath_destination_instances, or src_cloud_type for flightpath_connection_test.
Referanslar
- https://docs.aviatrix.com/documentation/latest/network-security/index.html
- https://docs.aviatrix.com/documentation/latest/release-notices/psirt-advisories/psirt-advisories.html?expand=true#remote-code-execution-vulnerability-in-aviatrix-controllers
- https://www.securing.pl/en/cve-2024-50603-aviatrix-network-controller-command-injection-vulnerability/
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2024-50603
Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.