Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Aktif istismar
  • Yama var
  • CWE-23
  • CWE-25
  • CWE-96

CVE-2021-40870

Aviatrix Controller'da kimlik doğrulamasız dosya yükleme ile kod çalıştırma

Aviatrix Controller

Kritik 9,8 CVSS 3.1
Yayımlandı
Güncellendi
17 Haz 2026
Açık yaşı
1871 gün
Kaydı açan
mitre
Saldırılarda kullanılıyor CISA, bu açığın gerçek saldırılarda kullanıldığını doğruladı ve 18 Oca 2022 tarihinde KEV listesine ekledi. ABD kamu kurumlarına verilen son yama tarihi: 1 Şub 2022.

Yönetici özeti

Bu açık, kimlik bilgisi olmayan bir saldırganın bulut ağ yönetim sistemini uzaktan ele geçirmesine olanak tanıyor ve halihazırda saldırılarda kullanıldığı biliniyor. Etkilenen sürümleri kullanan kurumların güncellemeyi gecikmeden uygulaması gerekiyor. Aksi halde bulut altyapısının kontrolü kaybedilebilir.

ÖzetTürkçe

Aviatrix Controller 6.x sürümlerinde, 6.5-1804.1922 öncesinde tehlikeli türde dosyaların kısıtlama olmadan yüklenmesine izin veren bir zafiyet bulunuyor. Kimliği doğrulanmamış bir saldırgan, dizin geçişi (directory traversal) yöntemini kullanarak yüklediği dosya üzerinden sistemde keyfi kod çalıştırabilir. Zafiyet CISA'nın bilinen istismar edilen zafiyetler (KEV) listesinde yer alıyor ve aktif olarak istismar edildiği bildiriliyor.

Saldırgan ne yapabilir?

Saldırgan, ağ üzerinden kimlik doğrulaması olmadan Controller üzerinde keyfi kod çalıştırarak sistemin gizlilik, bütünlük ve erişilebilirliğini tamamen ele geçirebilir.

Kaynaktaki açıklama (İngilizce)

An issue was discovered in Aviatrix Controller 6.x before 6.5-1804.1922. Unrestricted upload of a file with a dangerous type is possible, which allows an unauthenticated user to execute arbitrary code via directory traversal.

CISA'nın önerdiği eylem (İngilizce)

Apply updates per vendor instructions.

Ne yapmalı?

  1. Aviatrix Controller'ı 6.5-1804.1922 veya daha yeni bir sürüme güncelleyin; üretici talimatlarına göre yükseltme yapın. Genel öneri
  2. CISA'nın gerekliliği doğrultusunda güncellemeleri üretici talimatlarına uygun şekilde uygulayın. CISA
  3. Güncelleme hemen yapılamıyorsa Controller'ın yönetim arayüzüne internetten erişimi engelleyin ve yalnızca güvenilir IP adreslerine izin verin. Genel öneri
  4. Güncellemeden önce sistemin ele geçirilmiş olabileceğini varsayarak beklenmedik dosyaları, yeni hesapları ve olağan dışı süreçleri kontrol edin. Genel öneri

Ek önlemler

  • Controller yönetim arayüzünü doğrudan internete açmayın; VPN veya erişim kontrol listeleriyle sınırlandırın. Genel öneri
  • Web sunucusu ve uygulama günlüklerinde dosya yükleme istekleri ile dizin geçişi denemelerini izleyin. Genel öneri
  • Controller üzerindeki bulut kimlik bilgilerini ve erişim anahtarlarını, olası ele geçirme şüphesi durumunda yenileyin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
Aviatrix Controller ≥ 6.2, < 6.2.2043 6.2.2043
≥ 6.3, < 6.3.2490 6.3.2490
≥ 6.4, < 6.4.2838 6.4.2838
≥ 6.5, < 6.5.1922 6.5.1922

Kaynaklar6 kaynak

Kayıt geçmişi

  1. Etkilenen sürüm bilgisi güncellendi
  2. Yama ya da düzeltilmiş sürüm çıktı
  3. CISA KEV listesine eklendi (saldırılarda kullanılıyor)
  4. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.