Aviatrix Controller の脆弱性 CVE-2025-2171／2172 が FIX：認証バイパスと RCE の連鎖

Aviatrix Cloud Controller Flaw Enables Remote Code Execution via Authentication Bypass

2025/06/24 gbhackers — マルチ・クラウド環境の管理に使用される、クラウド・ネットワーク・ソフトウェア Aviatrix Controller に存在する２件の深刻な脆弱性が、Mandiant Red Team の調査により発見された。認証バイパス の脆弱性 CVE-2025-2171 と、認証後のコマンド・インジェクションの脆弱性 CVE-2025-2172 の連鎖による、システム全体への侵害の可能性が懸念されている。

認証バイパス：CVE-2025-2171

この攻撃チェーンは、脆弱なパスワード・リセット・メカニズムから始まる。以下の欠陥を突く攻撃者は、６桁のリセット・トークン (111,111 ~ 999,999) を、ブルートフォース攻撃で突破できる：

  • 低エントロピー：可能な組み合わせは 888,888通りのみ
  • ロックアウトなし：試行に失敗してもトークンは無効にならない
  • 15分間の有効期間：ブルートフォース攻撃中もトークンは有効

Mandiant が実証したのは、16時間のブルートフォース攻撃の末に、デフォルトの “admin” アカウントの乗っ取りに成功したことだ。この攻撃に成功すると、コントローラの管理インターフェイスにおける管理者権限が付与される。

認証後コマンド・インジェクション：CVE-2025-2172

ブルートフォースにより認証を回避した攻撃者は、続いてコントローラのアーキテクチャを悪用する。

  1. PHP フロントエンド：sudo コマンドを介して、ユーザー入力を Python バックエンド (cloudxd) に受け渡す。
  2. 不十分なサニタイズ：特権システム・コマンドへのパラメータ・インジェクションを可能にする。
  3. ルート実行：cloudxd バイナリがルート権限で実行される。

それにより、コントローラ上における、制約を受けないリモート・コード実行が可能になり、すべての接続クラウド・ゲートウェイと API に侵害の可能性が生じる。

影響と緩和策

VulnerabilityCVSSAffected VersionsPatched Versions
CVE-2025-21719.9≤7.2.50128.0.0, 7.2.5090, 7.1.42081

これらの脆弱性が悪用されると、以下のリスクが生じる：

  • 集中型コントローラへのアクセスによるクラウド環境への侵入
  • バックドアの展開と暗号通貨マイニング
  • AWS 環境における権限昇格

すでに Aviatrix は、2025年1月の時点でパッチをリリースし、以下の対策を推奨している：

  1. パッチ適用済みバージョンへの速やかなアップデート
  2. コントローラへのアクセス制限 (ポート 443 の公開を無効化)
  3. コントローラのアップグレード後にパッチを再適用 (修正が永続化しないため)

これらの脆弱性が浮き彫りにするのは、クラウド管理インフラにおける重大なリスクである。センタライズされたコントローラが、イニシャル・アクセス・ブローカーにとって価値の高い標的となる場合に、そのリスクは顕著なものとなる。

Aviatrix Controller の２つの脆弱性が連鎖すると、クラウド管理における深刻な脅威となります。単純なトークン・バイパスで認証が突破される設計と、RCE の連鎖的な悪用が可能な点も、攻撃者にとっては魅力的になるはずです。ご利用のチームは、十分に ご注意ください。よろしければ、Aviatrix で検索も、ご参照ください。