Критическая ошибка в vCenter Server от VMware требует немедленного исправления.
VMware заявил, что реализация протокола DCE/RPC (распределенная среда вычислений удаленных процедур) содержит уязвимость записи за пределами массива. Вендор отметил, что данную уязвимость следует рассматривать как изменение в режиме аварии в терминах ITIL, и организация должна распахнуть с этим быстро.
Оценка по шкале CVSS составляет 9.8, и уязвимость CVE-2023-34048 может быть использована для удаленного выполнения кода. Два других продукта, vSphere и vCloud, также используют vCenter и требуют исправления.
В пояснительной блог-записи VMware заявило, что несколько веток программного обеспечения пострадали: vSphere 6.5, 6.7, 7.0, 8.0.1 и 8.0.2. Компания сделала редкое решение исправить неподдерживаемые продукты, “из-за критической важности этой уязвимости и отсутствия практического решения”.
Исправлены следующие неподдерживаемые продукты: vCenter Server 6.7U3, 6.5U3 и VCF 3.x. “По тем же причинам VMware предоставил дополнительные исправления для vCenter Server 8.0U1”, – говорится в рекомендации.
“Асинхронные исправления vCenter Server для развертываний VCF 5.x и 4.x также были представлены”.
VMware заявил, что не имеет информации о каких-либо эксплойтах этой уязвимости в мире. Уязвимость CVE-2023-34048 была найдена Григори Дородновым из Zero Day Initiative Trend Micro.
Также была исправлена вторая уязвимость с низким уровнем риска, CVE-2023-34056 (CVSS 4.3). Она описывается как уязвимость “частичного разглашения информации”. “Злоумышленник с неадминистративными привилегиями в vCenter Server может использовать эту проблему для доступа к несанкционированным данным”, – сообщается в рекомендации. Эта уязвимость была раскрыта Олегом Мошковым из Deiteriy Lab.
Читать полную новость на сайте
