Aviatrix Controllers のOSコマンドインジェクションの脆弱性（CVE-2024-50603）

何が起きた

クラウドのネットワークを管理する Aviatrix Controller に、OS コマンドインジェクションの弱点が見つかりました。/v1/api に送る値に特別な記号を混ぜると、ログインしていない攻撃者が任意の（攻撃者が好きに選べる）命令を動かせてしまいます。NVD の評価では、攻撃者はネットワーク経由で、ログインも利用者の操作もなしに悪用できるとされています。Aviatrix は悪用しようとする動きを確認したとしており、CISA も実際の悪用を確認しています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Aviatrix Controller の 7.1.4191 より前、および 7.2.x の 7.2.4996 より前のバージョンを使っている組織が対象です。

何をすればいい

Aviatrix が公開したセキュリティパッチを当てるか、7.1.4191 または 7.2.4996 に更新してください。あわせて Aviatrix は、Controller への接続元の IP を制限する案内に従い、443 番のポートをインターネットに出さないようすすめています。Aviatrix の PSIRT の勧告など、公式の案内も確認してください。

やることチェックリスト

• 7.1.4191 か 7.2.4996 以降へ更新する
• Controller への接続元の IP を制限する
• 443 番のポートをインターネットに出さない設定にする

用語メモ

OS コマンドインジェクション

入力の中に OS への命令を紛れ込ませ、サーバーに実行させてしまう攻撃です。

ポート

ネットワークで通信の入口を区別するための番号です。