CVE-2026-47869

RCE w VMware Avi Load Balancer — zdalne wykonanie kodu

CVSS 8.7v3.1pub. 2026-07-18upd. 2026-08-20

VMware Avi Load Balancer zawiera podatność umożliwiającą zdalne wykonanie kodu (RCE). Uwierzytelniony użytkownik z dostępem sieciowym może wstrzyknąć i wykonać dowolny kod na podatnym systemie.

▸ Pokaż oryginał (EN)

VMware Avi Load Balancer contains a remote code execution vulnerability. A malicious authenticated user with network access may be able to inject and execute code. Affected versions: 32.1.1 (fixed in 32.1.2) 31.1.1 through 31.2.2 (fixed in 31.2.2-2p3) 30.1.1 through 30.2.6 (fixed in 30.2.7) 22.1.1 through 22.1.7 (fixed in 30.2.7)

🤖 Analiza AI

Jak działa

Podatność sklasyfikowana jako CWE-94 (code injection) pozwala uwierzytelnionemu atakującemu na wstrzyknięcie złośliwego kodu do aplikacji. Atak nie wymaga interakcji ze strony użytkownika ani szczególnie niskich uprawnień — wystarczy posiadanie konta z dostępem sieciowym do urządzenia. Wektor CVSS wskazuje na zakres wykraczający poza komponent (S:C), co oznacza, że skutki wykonanego kodu mogą dotyczyć zasobów poza bezpośrednim kontekstem podatnej aplikacji.

Skutki

Atakujący może uzyskać możliwość zdalnego wykonania dowolnego kodu na serwerze, co w konsekwencji może prowadzić do przejęcia kontroli nad systemem, wycieku danych oraz naruszenia poufności i integralności infrastruktury.

Mitygacja

Należy zaktualizować VMware Avi Load Balancer do następujących wersji zawierających poprawki: 32.1.2 (dla gałęzi 32.1.1), 31.2.2-2p3 (dla gałęzi 31.1.1 – 31.2.2), 30.2.7 (dla gałęzi 30.1.1 – 30.2.6 oraz 22.1.1 – 22.1.7). Szczegóły dostępne w biuletynie bezpieczeństwa Broadcom: https://support.broadcom.com/web/ecx/support-content-notification/-/external/content/SecurityAdvisories/0/37926