CVE-2026-47865

VMware Avi Load Balancer — Authentication Bypass w Control Plane

CVSS 9.8v3.1pub. 2026-07-18upd. 2026-08-20

VMware Avi Load Balancer zawiera krytyczną podatność umożliwiającą ominięcie mechanizmu uwierzytelnienia (authentication bypass). Atakujący z dostępem sieciowym może uzyskać nieautoryzowany dostęp do Avi Control Plane bez podawania prawidłowych poświadczeń.

▸ Pokaż oryginał (EN)

VMware Avi Load Balancer contains an authentication bypass vulnerability. A malicious user with network access may be able to access the Avi Control plane by bypassing the authentication mechanism. Affected versions: 31.1.1 through 31.2.2 (fixed in 31.2.2-2p3) 30.1.1 through 30.2.6 (fixed in 30.2.7) 22.1.1 through 22.1.7 (fixed in 30.2.7)

🤖 Analiza AI

Jak działa

Podatność sklasyfikowana jako CWE-287 (Improper Authentication) polega na wadliwej implementacji mechanizmu uwierzytelnienia w Avi Control Plane. Atakujący posiadający dostęp sieciowy do interfejsu zarządzania może ominąć wymagane uwierzytelnienie i uzyskać dostęp do warstwy sterującej load balancera. Nie są wymagane żadne uprzednie uprawnienia ani interakcja ze strony użytkownika, co czyni podatność szczególnie niebezpieczną w środowiskach z eksponowanym interfejsem zarządzania.

Skutki

Atakujący może uzyskać pełny nieautoryzowany dostęp do Avi Control Plane, co potencjalnie prowadzi do naruszenia poufności, integralności i dostępności systemu, w tym możliwości przejęcia kontroli nad konfiguracją load balancera i infrastrukturą sieciową.

Mitygacja

Należy zaktualizować VMware Avi Load Balancer do wersji zawierających poprawkę: 31.2.2-2p3 (dla gałęzi 31.x) lub 30.2.7 (dla gałęzi 30.x oraz 22.x). Szczegółowe informacje dostępne w biuletynie bezpieczeństwa Broadcom: https://support.broadcom.com/web/ecx/support-content-notification/-/external/content/SecurityAdvisories/0/37926