Aviatrix Aviatrix Controller の危険なファイルのアップロードの脆弱性（CVE-2021-40870）

何が起きた

クラウドのネットワークを管理する Aviatrix Controller に、危険な種類のファイルを制限なくアップロードできてしまう弱点が見つかりました。NVD の説明によると、ログインしていない攻撃者が、ディレクトリートラバーサルを使って任意の（攻撃者が好きに選べる）コードを実行できるおそれがあります。NVD の評価では離れた場所から悪用でき、CISA によると実際の悪用が確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Aviatrix Controller の 6.x を使っている組織が対象です。NVD の説明では、6.5-1804.1922 より前の版が影響を受けるとされています。Aviatrix のリリースノート（2021年9月11日のセキュリティの知らせ）は、6.2、6.3、6.4、6.5 の各系統に修正版を出しています。

何をすればいい

Aviatrix のリリースノートでは、最新の版に更新するよう求めています。系統ごとの修正版は、6.2 は 6.2.2043 以降、6.3 は 6.3.2490 以降、6.4 は 6.4.2838 以降、6.5 は 6.5.1922 以降です。6.2 と 6.3 を使っている場合、Aviatrix は 6.4.2838 以降への更新を強くすすめています（6.2 のサポート終了は 2021年10月15日）。公式の案内を確認してください。

やることチェックリスト

• Aviatrix Controller の版を調べる
• 各系統の修正版以降に更新する
• 6.2 と 6.3 は 6.4.2838 以降に上げる

用語メモ

ディレクトリートラバーサル

ファイルの置き場所の指定を細工して、本来は届かないフォルダーにファイルを読み書きする攻撃の手口です。

アップロード

手元のファイルをサーバーなどに送って置くことです。