CVE-2024-50603criticalbajo ataqueCWE-78

CVE-2024-50603: fallo crítico en Aviatrix Controller

Publicada el · Actualizada el

100Vexday Risk Score

Corrige ahora. Ella está bajo explotación confirmada por CISA y tiene exploit funcional público.

ssvc Actcvss 10epss 99%
de la publicación al arma0 días
Publicada en NVD8 ene
1ª PoC8 ene
CISA KEV+8d
probabilidad de explotación
99%top 1% de las CVE
explotación observada
síCISA + VulnCheck
4 exploit(s) público(s)
Acción exigida por CISAplazo federal: 2025-02-06

Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.

En resumen

Un atacante sin autenticación puede ejecutar código arbitrario en Aviatrix Controller enviando comandos de shell a través de parámetros desprotegidos de la API. El sistema no filtra adecuadamente caracteres especiales antes de ejecutar comandos del sistema.

Detalle técnico

Vulnerabilidad de inyección de comandos del SO (CWE-78) en Aviatrix Controller versiones anteriores a 7.1.4191 y 7.2.x anterior a 7.2.4996. Atacantes no autenticados pueden inyectar metacaracteres de shell mediante parámetros del endpoint /v1/api (cloud_type en list_flightpath_destination_instances o src_cloud_type en flightpath_connection_test) para lograr ejecución remota de código con privilegios del controlador.

Resumen generado y traducido por IA a partir de la descripción oficial.

El análisis completo de esta CVE está disponible en portugués →

An issue was discovered in Aviatrix Controller before 7.1.4191 and 7.2.x before 7.2.4996. Due to the improper neutralization of special elements used in an OS command, an unauthenticated attacker is able to execute arbitrary code. Shell metacharacters can be sent to /v1/api in cloud_type for list_flightpath_destination_instances, or src_cloud_type for flightpath_connection_test.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
Productos afectados
Aviatrix · Controller
PoCs públicas encontradas — 4
githubgithub.com/th3gokul/CVE-2024-50603★ 17vulncheckvulncheck.com/xdb/513baacd981dno verificadovulncheckvulncheck.com/xdb/cfd9552d3699no verificadovulncheckvulncheck.com/xdb/d36c53729e1cno verificado
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.
CVEs relacionadas — Aviatrix Controller

En el mismo producto, de las más peligrosas a las menos.

CVE-2025-2172MEDIUMCVE-2025-2172EPSS 12.2%CVE-2025-2171HIGHCVE-2025-2171EPSS 0.5%
Referencias
https://docs.aviatrix.com/documentation/latest/network-security/index.htmlhttps://docs.aviatrix.com/documentation/latest/release-notices/psirt-advisories/psirt-advisories.html?expand=true#remote-code-execution-vulnerability-in-aviatrix-controllershttps://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2024-50603https://www.securing.pl/en/cve-2024-50603-aviatrix-network-controller-command-injection-vulnerability/