Progress Software telah mengeluarkan perbaikan darurat untuk kerentanan tingkat keparahan maksimum (10/10) yang memengaruhi produk LoadMaster dan LoadMaster Multi-Tenant (MT) Hypervisor yang memungkinkan penyerang untuk mengeksekusi perintah dari jarak jauh pada perangkat.
Kelemahannya, yang dilacak sebagai CVE-2024-7591dikategorikan sebagai masalah validasi input yang tidak tepat yang memungkinkan penyerang jarak jauh yang tidak diautentikasi untuk mengakses antarmuka manajemen LoadMaster menggunakan permintaan HTTP yang dibuat khusus.
Namun, kurangnya sanitasi masukan pengguna juga dapat memungkinkan penyerang untuk mengeksekusi perintah sistem sewenang-wenang pada titik akhir yang rentan.
“Ada kemungkinan bagi penyerang jarak jauh yang tidak terotentikasi yang memiliki akses ke antarmuka manajemen LoadMaster untuk mengeluarkan permintaan HTTP yang dibuat dengan hati-hati yang akan memungkinkan perintah sistem sewenang-wenang untuk dieksekusi,” membaca buletin keamanan.
“Kerentanan ini telah ditutup dengan membersihkan permintaan masukan pengguna untuk mengurangi eksekusi perintah sistem yang sewenang-wenang.”
LoadMaster adalah pengontrol pengiriman aplikasi (ADC) dan solusi penyeimbangan beban yang digunakan oleh organisasi besar untuk mengoptimalkan kinerja aplikasi, mengelola lalu lintas jaringan, dan memastikan ketersediaan layanan yang tinggi.
MT Hypervisor adalah versi LoadMaster yang dirancang untuk lingkungan multi-penyewa, yang memungkinkan beberapa fungsi jaringan virtual berjalan pada perangkat keras yang sama.
CVE-2024-7591 diketahui memengaruhi LoadMaster versi 7.2.60.0 dan semua versi sebelumnya, serta MT Hypervisor versi 7.1.35.11 dan semua rilis sebelumnya. Cabang Long-Term Support (LTS) dan Long-Term Support with Feature (LTSF) juga terdampak.
Untuk memperbaiki kelemahan tersebut, Progress merilis paket tambahan yang dapat diinstal pada versi mana pun yang rentan, termasuk rilis lama, sehingga tidak ada versi target untuk dimutakhirkan guna mengatasi risiko dari kerentanan ini.
Akan tetapi, patch tersebut tidak berlaku untuk LoadMaster versi gratis, jadi CVE-2024-7591 tetap menjadi masalah di sana.
Progress Software mengatakan pihaknya belum menerima laporan apa pun mengenai eksploitasi aktif atas kerentanan tersebut hingga buletinnya diterbitkan.
Namun demikian, semua pengguna LoadMaster disarankan untuk mengambil tindakan yang tepat untuk mengamankan lingkungan mereka terhadap kemungkinan ini, termasuk menginstal add-on dan juga menerapkan rekomendasi vendor. langkah-langkah peningkatan keamanan.
