+38/050/370-3627
+38/093/220-0872
+38/044/257-2444
Новини

VMware випустила тимчасове виправлення для критичної вразливості у своїх продуктах

VMware випустила тимчасове виправлення критичної вразливості в своїх продуктах

VMware випустила тимчасове виправлення критичної вразливості в своїх продуктах, яке може дозволити зловмисникам взяти систему під контроль.

Як повідомляється в повідомленні безпеки, "зловмисник з мережевим доступом до адміністративного конфігуратора через порт 8443 і дійсним паролем для облікового запису адміністратора конфігуратора може запускати команди в системі з необмеженими привілеями".

CVE-2020-4006 — це вразливість для вприскування команд у VMware Workspace One Access, з'єднувачі доступу, диспетчері ідентифікації та з'єднувачі диспетчера ідентифікації. За шкалою оцінки небезпеки CVSS вразливість отримала 9,1 бала з максимальних 10.

Ця вразливість впливає на наступні продукти:

  • VMware Workspace One Access (версії 20.01 і 20.10 для Linux і Windows);

  • VMware Workspace One Access Connector (версії 20.10, 20.01.0.0 і 20.01.0.1 для Windows);

  • Диспетчер ідентифікації VMware (версії 3.3.1, 3.3.2 і 3.3.3 для Linux і Windows)

  • Роз'єм диспетчера ідентифікації VMware (версії 3.3.1, 3.3.2 для Linux і 3.3.1, 3.3.2, 3.3.3 для Windows);

  • VMware Cloud Foundation (версії 4.x для Linux і Windows)

  • vRealize Менеджер життєвого циклу Suite (версії 8.x для Linux і Windows).

Хоча випущене виправлення є тимчасовим, дата виходу остаточного патча ще не вказана. Також невідомо, чи використовується вразливість у реальних атаках. Як зазначено у VMware, тимчасове виправлення застосовується лише до служби адміністративного конфігуратора, розміщеної на порту 8443.

Після того, як тимчасове виправлення буде встановлено, зміни конфігурації, керованої конфігуратором, будуть неможливі. Якщо потрібно внести зміни, спочатку потрібно скасувати виправлення, а потім застосувати його знову після змін.

1. Продукти, що зазнали впливу
  • VMware Workspace One Access (Access)
  • VMware Workspace One Access Connector (з'єднувач Access)
  • Менеджер ідентифікації VMware (vIDM)
  • З'єднувач диспетчера ідентифікації VMware (з'єднувач vIDM)
  • VMware Cloud Foundation
  • vRealize Suite Менеджер життєвого циклу
2. Вступ

Про вразливість командної ін'єкції було приватно повідомлено VMware. Способи вирішення проблеми доступні для усунення цієї вразливості в уражених продуктах VMware.

3a. Вразливість командного ін'єкції в VMware Workspace One Access, конекторі доступу, диспетчері ідентифікації та адміністративному конфігураторі роз'єму диспетчера ідентифікації (CVE-2020-4006)

Опис

VMware Workspace One Access, з'єднувач доступу, диспетчер ідентифікації та з'єднувач диспетчера ідентифікації містять вразливість командної ін'єкції в адміністративному конфігураторі. VMware оцінив цю проблему як критичну серйозність з максимальним базовим балом CVSSv3 9.1.

Відомі вектори атаки

Зловмисник з мережевим доступом до адміністративного конфігуратора на порту 8443 і дійсним паролем для облікового запису адміністратора конфігуратора може виконувати команди з необмеженими привілеями на базовій операційній системі.

Резолюція

Патчі для CVE-2020-4006 з'являться найближчим часом. Дивіться «Обхідні шляхи» нижче, щоб знайти тимчасове рішення для запобігання експлуатації CVE-2020-4006.

Інші новини

Найкраща ціна