VMware Avi Load Balancer: une faille critique permettant le contournement de la connexion

VMware a publié des mises à jour de sécurité pour son Avi Load Balancer après la découverte de plusieurs vulnérabilités critiques qui pourraient permettre aux attaquants de contourner les mécanismes d'authentification.

Broadcom n'a pas fourni d'informations détaillées sur la façon exacte dont la faille peut être exploitée ou où elle était située dans l'architecture du système, mais la note de gravité indique une menace sérieuse.

En outre, les attaquants pourraient potentiellement accéder à certains paramètres sur le contrôleur Avi sans autorisation (CVE-2026-47866). Les utilisateurs ayant un accès local pourraient également étendre leurs privilèges et exécuter du code en tant qu'utilisateur root (CVE-2026-47868). Même les utilisateurs malveillants qui sont déjà connectés au système à partir du réseau pourraient exploiter cette faille (CVE-2026-47870).

Cette mise à jour fait suite à une précédente série d'avis de sécurité de Broadcom début juin, qui a identifié des vulnérabilités de scripting intersites dans des produits tels que VMware Cloud Foundation. Ces problèmes ont été classés comme à haut risque mais n'ont pas atteint le niveau de criticalité observé dans l'ensemble actuel de failles. En réponse, Broadcom a distribué un logiciel mis à jour pour atténuer ces risques. La découverte de ces vulnérabilités souligne l'importance de la maintenance régulière du logiciel et de l'application de correctifs en temps opportun, en particulier pour les composants d'infrastructure de niveau entreprise tels que les équilibreurs de charge.

Les organisations qui s'appuient sur Avi Load Balancer doivent évaluer leur statut actuel de déploiement et appliquer les correctifs nécessaires pour protéger leurs réseaux contre une exploitation potentielle.