CVE-2020-27730

Les versions 1.0.1, 2.0.0-2.9.0 et 3.0.0-3.9.0 de NGINX Controller Agent sont affectées par une faille de traversée de chemin (path traversal) qui permet à un attaquant d'exécuter des commandes arbitraires sur le serveur. Comme l'agent n'utilise pas de chemins absolus lors de l'appel d'utilitaires système, un attaquant distant peut prendre le contrôle total du système sans nécessiter d'authentification préalable ni d'interaction de l'utilisateur. Cette exploitation peut être déclenchée via le réseau avec un effort minimal.