[TLP:CLEAR] VMware Avi Load Balancer opravuje 7 zraniteľností

VMware verziami 32.1.2, 31.2.2-2p3 a 30.2.7 opravuje 7 zraniteľností vo svojom produkte Avi Load Balancer. Najzávažnejšie zraniteľnosti sú uvedené nižšie, ostatné nájdete na [1].

VMware Avi Load Balancer - authentication bypass (CVE-2026-47865)
CVSS 9.8 (Critical)

Neautentizovanému vzdialenému útočníkovi je umožnené obísť autentizačný mechanizmus a získať tak neoprávnený prístup k riadiacej vrstve systému (Avi Controller) [1].

Zraniteľnosť sa nachádza v produkte:

  • VMware Avi Load Balancer; >=22.1.1, <=22.1.7; >=30.1.1, <30.2.7; >=31.1.1, <31.2.2-2p3;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Viac informácií:

Zraniteľnosť bola verejne oznámená 14. 7. 2026.

VMware Avi Load Balancer - RCE (CVE-2026-47867, CVE-2026-47869)
CVSS 8.7 (High)

Autentizovanému vzdialenému útočníkovi je umožnené spustiť kód v rámci riadiacej vrstvy systému (Avi Controller) [1].

Zraniteľnosť sa nachádza v produkte:

  • VMware Avi Load Balancer; >=22.1.1, <=22.1.7; >=30.1.1, <30.2.7; >=31.1.1, <31.2.2-2p3; ==32.1.1;

CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:N

Viac informácií:

Zraniteľnosť bola verejne oznámená 14. 7. 2026.

VMware Avi Load Balancer - path traversal (CVE-2026-47871)
CVSS 8.8 (High)

Autentizovanému vzdialenému útočníkovi je kvôli nedostatočnej validácii ciest umožnené pristupovať mimo vyhradený adresár [1].

Zraniteľnosť sa nachádza v produkte:

  • VMware Avi Load Balancer; >=22.1.1, <=22.1.7; >=30.1.1, <30.2.7; >=31.1.1, <31.2.2-2p3; ==32.1.1;

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Viac informácií:

  • CVE-2026-47871 na cve.org, NVD
  • CWE-22: Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 14. 7. 2026.

Za CESNET, z.s.p.o. Ondrej Pavlovič dňa 20. 7. 2026.

CESNET, z.s.p.o. Logo