Progress Kemp LoadMaster dính lỗ hổng tiêm lệnh trước xác thực, có thể thực thi lệnh root qua API
"A critical pre-auth command injection vulnerability in Progress Kemp LoadMaster (CVE-2026-8037, CVSS 9.8) can allow an unauthenticated attacker to execute arbitrary commands as root by sending a crafted request to the API endpoint /accessv2. The issue affects GA v7.2.63.1 and earlier and LTSF v7.2.54.17 and earlier when the API is enabled; Progress released fixed versions v7.2.63.2 and v7.2.54.18, and also addressed a separate WAF bypass issue (CVE-2026-33691) in the same advisory."
Nguy cơ cao do command injection trước xác thực có thể dẫn tới thực thi lệnh root qua /accessv2; mức độ ảnh hưởng tăng thêm khi API đang được bật.
Có thể gây gián đoạn dịch vụ và rủi ro chiếm quyền thiết bị biên, ảnh hưởng đến điều phối lưu lượng; cần ưu tiên cập nhật khẩn để giảm thời gian phơi nhiễm.
Progress Kemp LoadMaster được cảnh báo về một lỗ hổng command injection trước xác thực, được gắn mã CVE-2026-8037 với CVSS 9.8. Theo mô tả, kẻ tấn công không cần đăng nhập có thể gửi yêu cầu được chế tạo tới endpoint /accessv2 để thực thi lệnh tùy ý với quyền root trên thiết bị, đặc biệt nguy hiểm do LoadMaster thường nằm ở biên mạng.
Nguyên nhân nằm ở hàm escape_quotes(): cơ chế xử lý chuỗi không đặt null terminator sau khi “escape” và cũng không đảm bảo bộ đệm được khởi tạo/ghi đầy đủ. Hệ quả là hệ thống có thể đọc vượt ranh giới dữ liệu đã làm sạch, sau đó “chạm” tới payload do kẻ tấn công kiểm soát thông qua các khóa JSON bổ sung trong cùng request.
Phạm vi ảnh hưởng: GA v7.2.63.1 và các phiên bản cũ hơn, LTSF v7.2.54.17 và các phiên bản cũ hơn khi API được bật. Bản vá: GA v7.2.63.2 và LTSF v7.2.54.18. Ngoài ra, cùng advisory còn có CVE-2026-33691 liên quan WAF bypass.
Khuyến nghị: cập nhật ngay lên phiên bản đã vá; rà soát việc bật API có thực sự cần thiết hay không và hạn chế truy cập từ bên ngoài theo nguyên tắc tối thiểu.