Se ha descubierto una vulnerabilidad crítica en la plataforma de red en la nube Aviatrix Controller, que permite la ejecución remota de código no autenticado debido a que algunos puntos finales de la API no validan adecuadamente la entrada proporcionada por los usuarios. Esta vulnerabilidad se identifica como CVE-2024-50603 y tiene una puntuación de severidad CVSS de 10.0.
Explotación activa de la vulnerabilidad
Los ciberdelincuentes han explotado activamente esta vulnerabilidad para infiltrarse en sistemas, desplegar puertas traseras y mineros de criptomonedas. La empresa de seguridad en la nube Wiz informa que los atacantes están utilizando esta vulnerabilidad para minar criptomonedas mediante la herramienta XMRig.
Los atacantes también están implementando el marco de comando y control (C2) Sliver, lo que podría facilitar la persistencia en los sistemas comprometidos y la explotación futura.
Impacto potencial
Aproximadamente un 3% de los entornos empresariales en la nube utilizan Aviatrix Controller. De estos, el 65% tiene configuraciones que permiten un posible movimiento lateral hacia permisos administrativos.
Cuando Aviatrix Controller se implementa en entornos de AWS, por defecto puede facilitar una escalada de privilegios. Los atacantes podrían estar usando esta vulnerabilidad para enumerar permisos en la nube y exfiltrar datos de las víctimas.
Corrección y mitigaciones
Aviatrix ha corregido esta vulnerabilidad en las versiones 7.1.4191 y 7.2.4996, por lo que se recomienda actualizar inmediatamente.
- Actualizar inmediatamente Aviatrix Controller a las versiones parcheadas (7.1.4191 o 7.2.4996).
- Limitar o evitar acceso público al sistema.
- Monitorizar los sistemas en busca de actividades sospechosas relacionadas con XMRig o Sliver.
- Revisar los permisos y configuraciones de seguridad en los entornos de nube afectados para evitar movimientos laterales o escaladas de privilegios.
Descubrimiento de la vulnerabilidad
El fallo fue identificado por Jakub Korepta, investigador de la empresa polaca de ciberseguridad Securing, quien también publicó una prueba de concepto (PoC) del exploit.