CVE-2026-47867

RCE w VMware Avi Load Balancer — dostęp do Control Plane

CVSS 8.7v3.1pub. 2026-07-18upd. 2026-08-20

VMware Avi Load Balancer zawiera podatność umożliwiającą zdalne wykonanie kodu (RCE). Zagrożenie jest poważne, ponieważ atakujący z dostępem sieciowym może przejąć kontrolę nad płaszczyzną zarządzania (Control Plane) urządzenia.

▸ Pokaż oryginał (EN)

VMware Avi Load Balancer contains a remote code execution vulnerability. A malicious user with network access may be able to access the Avi Control plane and execute code remotely. Affected versions: 32.1.1 (fixed in 32.1.2) 31.1.1 through 31.2.2 (fixed in 31.2.2-2p3) 30.1.1 through 30.2.6 (fixed in 30.2.7) 22.1.1 through 22.1.7 (fixed in 30.2.7)

🤖 Analiza AI

Jak działa

Podatność sklasyfikowana jako CWE-94 (Improper Control of Code Generation) pozwala złośliwemu użytkownikowi posiadającemu dostęp sieciowy na osiągnięcie płaszczyzny zarządzania Avi Control Plane i zdalne wykonanie tam kodu. Wektor ataku jest sieciowy, nie wymaga interakcji użytkownika, choć wymaga uprawnień wysokiego poziomu (PR:H). Zakres naruszenia przekracza granice atakowanego komponentu (S:C), co wskazuje na potencjalne oddziaływanie na inne systemy w środowisku.

Skutki

Atakujący może zdalnie wykonać dowolny kod na płaszczyźnie zarządzania VMware Avi Load Balancer, co prowadzi do pełnego naruszenia poufności i integralności kontrolowanego środowiska.

Mitygacja

Należy zaktualizować do wersji zawierającej poprawkę: 32.1.1 → 32.1.2; 31.1.1–31.2.2 → 31.2.2-2p3; 30.1.1–30.2.6 → 30.2.7; 22.1.1–22.1.7 → 30.2.7. Szczegóły dostępne w komunikacie Broadcom: https://support.broadcom.com/web/ecx/support-content-notification/-/external/content/SecurityAdvisories/0/37926