Cohesive Networks VNS3存在CVE-2024-8806等漏洞

Cohesive是开放数据中心联盟（ODCA）成员，Cohesive Networks VNS3是个API驱动云边缘控制器，为企业提供云级安全和网络软件。

Cohesive Networks VNS3 通过软件定义网络（SDN）技术，帮助企业构建、保护和自动化多云网络，为企业提供全面云管理和安全方案。

一、基本情况

Cohesive Networks VNS3通过API进行配置和自动化，使用警报和监控解决方案快速配置VNS3拓扑，提供警报功能应对和管理网络环境。

无论是使用单个云服务提供商、多个云还是混合云，VNS3 都可以提供连接性和安全性和提供更优惠的价格、更好的支持和更好的可见性。

Cohesive Networks VNS3支持IPv6/IPv4双栈，提供加密覆盖网络，确保HIPAA和PCI合规性，通过TLS加密、通过API进行配置和自动化。

栋科技漏洞库关注到Cohesive Networks VNS3多个漏洞，追踪CVE-2024-8806、CVE-2024-8807、CVE-2024-8808、CVE-2024-8809。

二、漏洞分析

CVE-2024-8806

CVE-2024-8806是Cohesive Networks VNS3 中的命令注入远程代码执行漏洞，具体漏洞存在于默认监听 TCP 端口 8000 的Web服务中。

该漏洞源于对用户提供的字符串缺乏适当的验证，导致在执行系统调用的时候使用该字符串，攻击者可利用该漏洞以 root 权限执行代码。

该漏洞CVSS评分9.8，允许远程攻击者在受影响的 Cohesive Networks VNS3 安装上执行任意代码，且利用该漏洞不需要进行身份验证。

CVE-2024-8807

CVE-2024-8807是Cohesive Networks VNS3 中的命令注入远程代码执行漏洞，具体漏洞存在于默认监听 TCP 端口 8000 的Web服务中。

该漏洞源于对用户提供的字符串缺乏适当的验证，从而导致使用该字符串执行系统调用，攻击者可以利用该漏洞以 root 权限来执行代码。

该漏洞CVSS评分9.8，允许远程攻击者在受影响的 Cohesive Networks VNS3 安装上执行任意代码，且利用该漏洞不需要进行身份验证。

CVE-2024-8808

CVE-2024-8808是Cohesive Networks VNS3 中的命令注入远程代码执行漏洞，具体漏洞存在于默认监听 TCP 端口 8000 的Web服务中。

该漏洞源于对用户提供的字符串缺乏适当的验证，导致在使用它执行系统调用之前未进行验证，攻击者可利用该漏洞以root权限执行代码。

该漏洞CVSS评分9.8，允许远程攻击者在受影响的Cohesive Networks VNS3安装上执行任意代码，但要利用此漏洞，需要进行身份验证。

CVE-2024-8809

CVE-2024-8809是Cohesive Networks VNS3 中的命令注入远程代码执行漏洞，具体漏洞存在于默认监听 TCP 端口 8000 的 Web 服务中。

该漏洞源于对用户提供的字符串缺乏适当的验证，在使用它执行系统调用前未对其进行检查，攻击者可利用该漏洞以 root 权限执行代码。

该漏洞CVSS评分9.8，漏洞允许远程攻击者在受影响的 Cohesive Networks VNS3 安装上执行任意代码，利用该漏洞需要进行身份验证。

三、漏洞影响

VNS3 4.6.1+（EOL – Upgrade）

VNS3 5.0.x（EOL – Upgrade）

VNS3 5.1.x（EOL – Upgrade）

VNS3 5.2.0-5.2.11 （EOL – Upgrade）

四、修复建议

VNS3 6.0.0-6.0.20（EOL – Upgrade）

VNS3 6.1.1-6.1.4（EOL – Upgrade）

6.1.5-6.1.9(升级或请求修补支持)

五、参考链接

https://cohesive.net/support/security-responses/