Múltiples vulnerabilidades en VMware Avi Load Balancer de Broadcom
Fecha de publicación 15/07/2026
Identificador
INCIBE-2026-492
Importancia
5 - Crítica
Recursos Afectados
- VMware Avi Load Balancer 32.1.1;
- VMware Avi Load Balancer versiones 31.1.1 a 31.2.2;
- VMware Avi Load Balancer versiones 30.2.1 a 30.2.6;
- VMware Avi Load Balancer versiones 22.1.1 a 22.1.7.
Descripción
Broadcom ha publicado 7 vulnerabilidades en VMware Avi Load Balancer, de las cuales 1 es de severidad crítica y 6 de severidad alta. La explotación exitosa de estas vulnerabilidades podría permitir a un atacante eludir los mecanismos de autenticación, ejecutar código arbitrario de forma remota, escalar privilegios o realizar ataques de recorrido de directorios, comprometiendo la confidencialidad, integridad y disponibilidad de los sistemas afectados
Solución
El fabricante recomienda actualizar el VMware Avi Load Balancer a una versión corregida:
- 32.1.2;
- 31.2.2-2p3 para la rama 31.x;
- 30.2.7 para la rama 30.x.
Los sistemas que ejecuten la rama 22.1.x deberán actualizarse, al menos, a la versión 30.2.7 o posterior.
Detalle
- CVE-2026-47865 y CVE-2026-47866: dos vulnerabilidades de omisión de autenticación que podrían permitir a un atacante con acceso a la red eludir los mecanismos de autenticación y acceder al plano de control de Avi. La primera permitiría el acceso completo al plano de control, mientras que la segunda limita el acceso a un subconjunto de sus funcionalidades.
- CVE-2026-47867 y CVE-2026-47869: dos vulnerabilidades de ejecución remota de código. Un atacante con acceso a la red podría ejecutar código arbitrario sobre el plano de control de Avi. En el caso de la CVE-2026-47869, la explotación requiere que el atacante disponga previamente de credenciales válidas.
- CVE-2026-47868 y CVE-2026-47870: dos vulnerabilidades de escalada de privilegios que podrían permitir a un atacante obtener privilegios elevados. La primera posibilita la ejecución de código con privilegios de root desde un acceso local, mientras que la segunda podría ser explotada por un usuario autenticado con acceso a la red para ejecutar código con mayores privilegios.
- CVE-2026-47871: la vulnerabilidad se debe a una validación insuficiente de las rutas de acceso a archivos, lo que podría permitir a un usuario autenticado realizar un ataque de recorrido de directorios (directory traversal) y acceder a recursos fuera del directorio previsto.
CVE
| Identificador CVE | Severidad | Explotación | Fabricante |
|---|---|---|---|
| CVE-2026-47865 | Crítica | No | Broadcom |
| CVE-2026-47866 | Alta | No | Broadcom |
| CVE-2026-47867 | Alta | No | Broadcom |
| CVE-2026-47868 | Alta | No | Broadcom |
| CVE-2026-47869 | Alta | No | Broadcom |
| CVE-2026-47870 | Alta | No | Broadcom |
| CVE-2026-47871 | Alta | No | Broadcom |
Listado de referencias
