Una login admin basta a prendere root su LoadMaster
Progress Kemp LoadMaster ha ricevuto un advisory critico per CVE-2026-8037. La falla permette a chi dispone di un login admin valido di arrivare all’esecuzione di codice come root sull’appliance, quindi il problema non è un bug isolato dell’interfaccia ma il controllo completo del box.
La vulnerabilità sta nella funzione escape_quotes. Un input autenticato entra in codice che legge memoria non inizializzata; da lì l’attaccante può piegare l’esecuzione fino a ottenere comandi con privilegi di root. Su un LoadMaster questo significa compromettere il punto che gestisce il traffico per altri servizi, non solo la console di gestione.
Progress ha rilasciato un update correttivo e la CVE è stata inserita nel KEV. Per chi usa account admin condivisi, remoti o già esposti, le credenziali riutilizzate o rubate restano la vera chiave d’ingresso: la patch chiude il difetto, ma non annulla un accesso già ottenuto.
CVSS 9.6 CRITICAL: oS Command Injection Remote Code Execution Vulnerability in API in Progress ADC Products allows an un-authenticated… EPSS 100% (100º percentile).
Data di correzione federale CISA 10 ago · data superata