CVE-2024-50603
Aviatrix Controllers OS Command Injection Vulnerability
Beschreibung
CVE-2024-50603 ist eine kritische OS-Command-Injection-Schwachstelle in Aviatrix Controller vor Version 7.1.4191 und in den Versionen 7.2.x vor 7.2.4996. Die Schwachstelle ermoeglicht einem unauthentifizierten Angreifer die Ausfuehrung beliebiger Befehle auf dem Betriebssystem durch Einschleusen von Shell-Metazeichen ueber den API-Endpunkt /v1/api. Mit dem hoechstmoeglichen CVSS-Score von 10.0 (CRITICAL) und einem Scope-Wechsel stellt diese Schwachstelle eine maximale Bedrohung dar.
Die CISA hat CVE-2024-50603 in den KEV-Katalog aufgenommen mit einer Behebungsfrist bis zum 2025-02-06. Der EPSS-Score von 94,36 % (100,0. Perzentil) ist der hoechstmoegliche Wert und zeigt aktive, grossflaechige Ausnutzung an. Aviatrix Controller sind zentrale Verwaltungskomponenten fuer Multi-Cloud-Netzwerkinfrastrukturen, was die Schwachstelle besonders gefaehrlich macht.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| aviatrix | controller | < 7.1.4191; >= 7.2, < 7.2.4996 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
- https://docs.aviatrix.com/documentation/latest/network-security/index.html(Product)
- https://docs.aviatrix.com/documentation/latest/release-notices/psirt-advisories/psirt-advisories.html?expand=true#remote-code-execution-vulnerability-in-aviatrix-controllers(Vendor Advisory)
- https://www.securing.pl/en/cve-2024-50603-aviatrix-network-controller-command-injection-vulnerability/(Exploit, Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2024-50603(US Government Resource)
Schwachstellentyp
OS Command Injection
CVE-2024-50603 basiert auf einer unzureichenden Neutralisierung von Sonderzeichen in Betriebssystembefehlen (OS Command Injection). Die Parameter cloud_type in der Funktion list_flightpath_destination_instances und src_cloud_type in flightpath_connection_test am Endpunkt /v1/api werden nicht ausreichend validiert, sodass Shell-Metazeichen eingeschleust werden koennen. Diese Schwachstellenklasse entspricht CWE-78 (Improper Neutralization of Special Elements used in an OS Command).
Command Injection in einem Cloud-Netzwerk-Controller ist besonders kritisch, da der Controller typischerweise privilegierten Zugang zu saemtlichen verwalteten Cloud-Umgebungen (AWS, Azure, GCP) besitzt und dessen Kompromittierung die gesamte Multi-Cloud-Infrastruktur gefaehrdet.
Weitere Informationen: CWE-78 -- Improper Neutralization of Special Elements used in an OS Command
Auswirkungsanalyse
Die Auswirkungen von CVE-2024-50603 sind maximal und betreffen die gesamte Multi-Cloud-Infrastruktur einer Organisation. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H beschreibt den hoechstmoeglichen Bedrohungsgrad mit Scope-Wechsel. Vertraulichkeit (Hoch) -- ein Angreifer erhaelt Zugriff auf saemtliche Cloud-Zugangsdaten, API-Keys, Netzwerkkonfigurationen und Transit-Verschluesselungsschluessel, die im Aviatrix Controller gespeichert sind. Integritaet (Hoch) -- beliebige Befehlsausfuehrung ermoeglicht die Manipulation von Cloud-Netzwerkkonfigurationen, das Erstellen neuer Zugaenge zu Cloud-Umgebungen und das Einrichten persistenter Backdoors. Verfuegbarkeit (Hoch) -- der Angreifer kann den Controller deaktivieren, Netzwerkverbindungen zwischen Cloud-Umgebungen unterbrechen und kritische Infrastruktur lahmlegen. Der Scope-Wechsel (S:C) zeigt, dass die Kompromittierung des Controllers Auswirkungen auf alle verwalteten Cloud-Ressourcen hat. Der EPSS-Score von 94,36 % (100,0. Perzentil) ist der hoechstmoegliche Wert. Die Schwachstelle erfordert keinerlei Authentifizierung und ist trivial auszunutzen, was sie zu einem bevorzugten Ziel fuer automatisierte Angriffswerkzeuge macht.
Exploit-Reifegrad
CVE-2024-50603 weist die hoechstmoegliche Exploit-Reife auf. Die CISA hat die aktive Ausnutzung bestaetigt und die Schwachstelle mit einer sehr kurzen Behebungsfrist bis zum 2025-02-06 in den KEV-Katalog aufgenommen. Der EPSS-Score von 94,36 % (100,0. Perzentil) ist der maximale Wert und zeigt grossflaechige, aktive Ausnutzung an. Der Ransomware-Status ist als Unknown klassifiziert. Eine detaillierte technische Analyse von Securing.pl dokumentiert die Schwachstelle und stellt oeffentlich verfuegbaren Exploit-Code bereit. Das Aviatrix PSIRT Advisory bestaetigt die Schwachstelle und stellt Patches bereit. Aufgrund der fehlenden Authentifizierungsanforderung und der trivialen Ausnutzbarkeit ist davon auszugehen, dass automatisierte Scan- und Exploitierungswerkzeuge weit verbreitet sind.
Behebung
-
Aviatrix Controller umgehend aktualisieren: Installieren Sie Version 7.1.4191 oder hoeher (fuer die 7.1.x-Linie) bzw. Version 7.2.4996 oder hoeher (fuer die 7.2.x-Linie). Konsultieren Sie das Aviatrix PSIRT Advisory fuer detaillierte Upgrade-Anweisungen.
-
Netzwerkzugang zum Controller einschraenken: Stellen Sie sicher, dass der Aviatrix Controller und insbesondere der API-Endpunkt /v1/api nicht oeffentlich erreichbar sind. Implementieren Sie strenge Netzwerk-ACLs und Security Groups, die den Zugriff auf vertrauenswuerdige IP-Adressen beschraenken.
-
Cloud-Zugangsdaten rotieren: Da der Controller Zugang zu allen verwalteten Cloud-Umgebungen hat, rotieren Sie saemtliche Cloud-API-Keys, IAM-Zugangsdaten und Transit-Verschluesselungsschluessel, die im Controller gespeichert waren.
-
Forensische Untersuchung der Cloud-Umgebungen: Ueberpruefen Sie CloudTrail (AWS), Activity Logs (Azure) und Audit Logs (GCP) auf unautorisierte Zugriffe und Konfigurationsaenderungen. Suchen Sie nach unbekannten IAM-Rollen, neuen Netzwerkrouten und verdaechtigen Compute-Instanzen.
-
Controller-Logs analysieren: Pruefen Sie die Aviatrix-Controller-Logs auf verdaechtige API-Aufrufe, insbesondere an list_flightpath_destination_instances und flightpath_connection_test mit ungewoehnlichen Parameterwerten.
Technische Details
CVE-2024-50603 betrifft Aviatrix Controller in Versionen vor 7.1.4191 und 7.2.x vor 7.2.4996. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H beschreibt den hoechstmoeglichen Bedrohungsgrad. Angriffsvektor (Netzwerk): Die Schwachstelle ist ueber den API-Endpunkt /v1/api des Controllers erreichbar. Angriffskomplexitaet (Niedrig): Der Angriff erfordert keine besonderen Bedingungen. Berechtigungen (Keine): Keinerlei Authentifizierung erforderlich. Benutzerinteraktion (Keine): Vollstaendig automatisierbar. Scope (Changed): Die Kompromittierung des Controllers betrifft alle verwalteten Cloud-Ressourcen. Der Angriffsmechanismus nutzt eine fehlende Eingabevalidierung der Parameter cloud_type und src_cloud_type am Endpunkt /v1/api. Diese Parameter werden direkt in Betriebssystembefehle eingesetzt, ohne Shell-Metazeichen wie Semikolons, Backticks oder Pipe-Zeichen zu neutralisieren. Ein Angreifer kann durch eine einfache HTTP-Anfrage mit manipulierten Parametern beliebige Befehle auf dem Betriebssystem des Controllers ausfuehren. Die Securing.pl-Analyse dokumentiert die technischen Details der Ausnutzung.
Häufig gestellte Fragen
Wird CVE-2024-50603 fuer Ransomware-Angriffe genutzt?
Der Ransomware-Status ist derzeit als Unknown klassifiziert. Aufgrund des maximalen EPSS-Scores und der trivialen Ausnutzbarkeit ohne Authentifizierung ist die Schwachstelle jedoch ein idealer Kandidat fuer automatisierte Angriffe jeder Art, einschliesslich Ransomware-Kampagnen.
Welche Cloud-Umgebungen sind durch die Schwachstelle gefaehrdet?
Alle Cloud-Umgebungen, die ueber den kompromittierten Aviatrix Controller verwaltet werden, sind potenziell betroffen. Dies umfasst typischerweise AWS, Azure und GCP. Der Controller speichert Zugangsdaten und Verschluesselungsschluessel fuer alle verwalteten Umgebungen.
Ist mein System betroffen, wenn der Controller nur intern erreichbar ist?
Wenn der Controller nicht ueber das Internet erreichbar ist, sinkt das Risiko einer externen Ausnutzung erheblich. Dennoch sollte dringend gepatcht werden, da interne Angreifer oder bereits kompromittierte Systeme die Schwachstelle ohne Authentifizierung ausnutzen koennten.
Wie kann ich pruefen, ob mein Controller bereits kompromittiert wurde?
Ueberpruefen Sie die Controller-Logs auf verdaechtige API-Aufrufe an /v1/api mit ungewoehnlichen Werten fuer cloud_type oder src_cloud_type. Pruefen Sie zudem die Cloud-Audit-Logs (CloudTrail, Azure Activity Logs, GCP Audit Logs) auf unautorisierte Aktionen, die mit den Controller-Zugangsdaten durchgefuehrt wurden.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.