In VMwares Avi Load Balancer haben die Entwickler mehrere Sicherheitslücken ausgebessert. Sie erreichen teils kritische Risikoeinstufungen und ermöglichen Angreifern, etwa die Authentifizierung zu umgehen.
Broadcom warnt in einer Sicherheitsmitteilung vor den Schwachstellen. Die gravierendste Schwachstelle ermöglicht bösartigen Akteuren mit Netzwerkzugriff auf die Avi-Controller-Oberfläche, den Authentifizierungsmechanismus zu umgehen (CVE-2026-47865, CVSS 9.8, Risiko „kritisch“). Wie genau sie das anstellen können und wo der Fehler liegt, erörtert Broadcom jedoch nicht. Eine Directory-Traversal-Schwachstelle (CVE-2026-47871, CVSS 8.8, Risiko „hoch“) bedroht ebenso wie eine Codeschmuggel-Lücke im Avi-Controller (CVE-2026-47867, CVSS 8.7, Risiko „hoch“) die Sicherheit des Load Balancers. Angemeldete Nutzer können ebenfalls auf nicht detailliertem Weg Schadcode einschleusen und ausführen (CVE-2026-47869, CVSS 8.7, Risiko „hoch“).
Außerdem können Angreifer auf einige Einstellungen im Avi-Controller unbefugt zugreifen (CVE-2026-47866, CVSS 8.3, Risiko „hoch“). Nutzer mit lokalem Zugriff können zudem ihre Rechte ausweiten und Code als root-User ausführen (CVE-2026-47868, CVSS 7.8, Risiko „hoch“). Das gelingt auch bösartigen angemeldeten Nutzern aus dem Netz (CVE-2026-47870, CVSS 7.1, Risiko „hoch“).
