VMware Avi Load Balancer の複数の脆弱性：認証回避やコード実行の恐れ

VMSA-2026-0005: VMware Avi Load Balancer addresses multiple vulnerabilities

2026/07/14 Broadcom —Broadcom がユーザー組織に対して強く推奨するのは、VMware Avi Load Balancer に対して提供されている複数の脆弱性に対する修正プログラムの速やかな適用である。特に、認証バイパス脆弱性 CVE-2026-47865  (CVSSv3：9.8) を悪用する、ネットワーク・アクセスを持つ悪意のユーザーは、認証メカニズムを回避して Avi Control Plane へアクセスする可能性がある。また、認可バイパス脆弱性 CVE-2026-47866 (CVSSv3：8.3) を悪用するリモート攻撃者は、適切な認可を必要とせずに、Avi Control Plane の限定された範囲へアクセスする可能性がある。

さらに、CVE-2026-47867／CVE-2026-47869 (CVSSv3：8.7) は、リモートコード実行脆弱性であり、ネットワーク・アクセスを持つ悪意のあるユーザーまたは認証済みユーザーが Avi Control Plane へアクセスし、リモート・コード実行を引き起こす可能性がある。CVE-2026-47868 は CVSSv3 スコア 7.8 のローカル権限昇格脆弱性であり、ローカルアクセスを持つ攻撃者が、root 権限昇格を達成し、コード実行を引き起こす可能性がある。

権限昇格の脆弱性 CVE-2026-47870 (CVSSv3：7.1) は、ネットワーク・アクセスを持つ認証済みユーザーに対して、リモート・コード実行を許す可能性がある。さらに、CVE-2026-47871 (CVSSv3：8.8) はディレクトリ・トラバーサル脆弱性であり、ファイルパス検証の不備により、認証済みのネットワーク・ユーザーにディレクトリ・トラバーサル攻撃を許す可能性がある。

影響を受けるバージョン

CVE ID	Vulnerability Type	CVSS Score	Affected Versions	Fixed Version
CVE-2026-47865	Authentication Bypass	9.8	31.1.1 ～ 31.2.2／30.1.1 ～ 30.2.6／22.1.1 ～ 22.1.7	31.2.2-2p3／30.2.7／30.2.7 以降 (推奨: 32.1.2)
CVE-2026-47866	Authorization Bypass	8.3	32.1.1／31.1.1 ～ 31.2.2／30.1.1 ～ 30.2.6／22.1.1 ～ 22.1.7	32.1.2／31.2.2-2p3／30.2.7／30.2.7 以降 (推奨: 32.1.2)
CVE-2026-47867	Remote Code Execution	8.7	32.1.1／31.1.1 ～ 31.2.2／30.1.1 ～ 30.2.6／22.1.1 ～ 22.1.7	32.1.2／31.2.2-2p3／30.2.7／30.2.7 以降 (推奨: 32.1.2)
CVE-2026-47868	Local Privilege Escalation	7.8	32.1.1／31.1.1 ～ 31.2.2／30.1.1 ～ 30.2.6／22.1.1 ～ 22.1.7	32.1.2／31.2.2-2p3／30.2.7／30.2.7 以降 (推奨: 32.1.2)
CVE-2026-47869	Remote Code Execution	8.7	32.1.1／31.1.1 ～ 31.2.2／30.1.1 ～ 30.2.6／22.1.1 ～ 22.1.7	32.1.2／31.2.2-2p3／30.2.7／30.2.7 以降 (推奨: 32.1.2)
CVE-2026-47870	Privilege Escalation	7.1	32.1.1／31.1.1 ～ 31.2.2／30.1.1 ～ 30.2.6／22.1.1 ～ 22.1.7	32.1.2／31.2.2-2p3／30.2.7／30.2.7 以降 (推奨: 32.1.2)
CVE-2026-47871	Directory Traversal	8.8	32.1.1／31.1.1 ～ 31.2.2／30.1.1 ～ 30.2.6／22.1.1 ～ 22.1.7	32.1.2／31.2.2-2p3／30.2.7／30.2.7 以降 (推奨: 32.1.2)

これらの脆弱性には回避策が存在しないため、影響を受けるバージョンを利用している組織は、修正版へのアップグレードを適用する必要がある。

• VMware Avi Load Balancer 32.1.1 を利用している場合は、32.1.2 へアップグレードする。
• VMware Avi Load Balancer 31.1.1 ～ 31.2.2 を利用している場合は、31.2.2-2p3 へアップグレードする。
• VMware Avi Load Balancer 30.1.1 ～ 30.2.6 を利用している場合は、30.2.7 へアップグレードする。
• VMware Avi Load Balancer 22.1.1 ～ 22.1.7 を利用している場合は、少なくとも 30.2.7 以降へアップグレードする。

今回の脆弱性群は、認証バイパス／認可バイパス／リモートコード実行／権限昇格／ディレクトリトラバーサルなど複数の攻撃経路を含んでいる。ロードバランサーが企業のクラウド・インフラにおいて重要な役割を担うことから、影響を受けるバージョンを運用している組織は、一連のパッチ適用を優先度の高い対応事項として扱うべきである。

訳者後書：今回の脆弱性は、製品の認証や認可、アクセス権限の制御の不備、そしてファイルパス検証の不足などが原因で発生しています。 VMware Avi Load Balancer には CVE-2026-47865／CVE-2026-47866／CVE-2026-47867／CVE-2026-47868 ／CVE-2026-47869／CVE-2026-47870／CVE-2026-47871 の脆弱性が存在し、これらが重なると認証を回避されたり、遠隔から任意のプログラムを実行されたりする恐れがあります。ご利用のチームは、ご注意ください。よろしければ、VMware で検索も、ご参照ください。