Aviatrix Controller'da kimlik doğrulamasız işletim sistemi komut enjeksiyonu

ÖzetTürkçe

Aviatrix Controller'ın 7.1.4191 öncesi sürümlerinde ve 7.2.4996 öncesindeki 7.2.x sürümlerinde işletim sistemi komutlarında kullanılan özel karakterler yeterince temizlenmemektedir. Saldırgan, /v1/api uç noktasında list_flightpath_destination_instances işlemindeki cloud_type parametresine veya flightpath_connection_test işlemindeki src_cloud_type parametresine kabuk metakarakterleri göndererek komut enjekte edebilir. Açık için kimlik doğrulama gerekmemektedir. Güvenlik açığı CISA'nın bilinen istismar edilen güvenlik açıkları (KEV) listesine eklenmiştir.

Saldırgan ne yapabilir?

Kimlik doğrulaması yapmamış uzak bir saldırgan, Controller üzerinde keyfi kod çalıştırarak sistemin gizlilik, bütünlük ve erişilebilirlik üzerinde tam kontrolü ele geçirebilir. Etki, CVSS vektöründe kapsam değişimi (S:C) olarak belirtildiği için Controller'ın yönettiği diğer bileşenlere de yayılabilir.

Ne yapmalı?

1. Aviatrix Controller'ı 7.1.x kolunda 7.1.4191 veya sonrasına, 7.2.x kolunda ise 7.2.4996 veya sonrasına güncelleyin. Üretici
2. Güncelleme yapılamıyorsa, CISA KEV gereği satıcının sunduğu azaltım talimatlarını uygulayın; azaltım yöntemi yoksa ürünün kullanımını durdurun. CISA
3. Güncellemeye kadar Controller yönetim arayüzüne ve API'sine erişimi güvenilir IP adresleriyle sınırlayın ve internetten erişimi kapatın. Genel öneri
4. Güncelleme sonrasında sistemde izinsiz değişiklik veya şüpheli etkinlik olup olmadığını kontrol edin. Genel öneri

Ek önlemler

• Controller'a ait /v1/api isteklerinde cloud_type ve src_cloud_type parametrelerinde kabuk metakarakterleri içeren kayıtları günlüklerde arayın. Genel öneri
• Sistem şüpheli şekilde etkilenmiş olabilirse Controller üzerinde kullanılan kimlik bilgilerini, API anahtarlarını ve bulut hesap erişim bilgilerini yenileyin. Genel öneri
• Yönetim arayüzlerini genel internete açmak yerine VPN veya bastion arkasında tutun. Genel öneri
• Controller'dan çıkan beklenmeyen ağ bağlantılarını ve yeni süreçleri izleyin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

Kaynaklar7 kaynak

• CVE.org kaydı
• NVD kaydı
• docs.aviatrix.com/documentation/latest/network-security/index.html Diğer
• docs.aviatrix.com/…notices/psirt-advisories/psirt-advisories.html Diğer
• securing.pl/…ork-controller-command-injection-vulnerability Diğer
• cisa.gov/known-exploited-vulnerabilities-catalog Diğer
• docs.aviatrix.com/…notices/psirt-advisories/psirt-advisories.html Diğer

Kayıt geçmişi

1. 16 Oca 2025CISA KEV listesine eklendi (saldırılarda kullanılıyor)
2. 8 Oca 2025 03:00Yayımlandı

İlgili açıklar

• 7,8 CVE-2026-118615Ultralytics torch_safe_load Command Injection Remote Code Execution Vulnerability
• 6,8 CVE-2026-118607Alpine iLX-F511 diagapp Command Injection Vulnerability
• 8,8 CVE-2026-106079Session Smart Router and Session Smart Conductor: Improper validation of a field causes privilege escalation when updating the YANG configuration
• 9,8 CVE-2026-103406Session Smart Conductor: An unauthenticated attacker causes arbitrary command execution during key management.
• 8,8 CVE-2026-103403Session Smart Router and Session Smart Conductor: Unvalidated input causes arbitrary file deletion and command execution when deleting audit rules
• 8,8 CVE-2026-116778FOG: Authenticated low-privileged API user can modify Storage Nodes and reach root command execution