Basque Cyber Security Centre - Zibersegurtasun Euskal Zentroa

Ahultasunak VMwareren vSphere Data Protection-en (VDP)

Argitalpen data: 2018/11/21

Garrantzia: Kritikoa

Kaltetutako baliabideak:

  • VDP, 6.1.x eta 6.0.x bertsioak

Azalpena:

vSphere Data Protection-i (VDP) eragiten dioten hainbat ahultasun argitaratu dira: kodearen urruneko exekuzioa, birbideratze irekia, komandoen injekzioa eta informazioaren agerpena.

Konponbidea:

Produktu eta bertsio bakoitzari dagokionaren arabera, ordeztea edo partxea aplikatzea:

Xehetasuna:

  • Autentifikatu gabeko urruneko erasotzaile batek komando arbitrarioak exekuta litzake zerbitzarian. Ahultasun horretarako CVE-2018-11066 identifikatzailea erreserbatu da.
  • Birbideratze irekiko ahultasun bat baliatuz, autentifikatu gabeko urruneko erasotzaile batek aplikazioko erabiltzaileak URL arbitrarioetara birbidera litzake, eta erabiltzaileak engainatu, jakin gabe lotura gaiztoetan klik egin dezaten (phishing). Ahultasun horretarako CVE-2018-11067 identifikatzailea erreserbatu da.
  • Arazoak konpontzeko getlogs utilitatearen sistema eragileak duen komandoen injekzio erako ahultasun bat baliatuz, administratzaile baimenak lituzkeen erasotzaile batek komando arbitrarioak exekuta litzake root pribilegioekin. Ahultasun horretarako CVE-2018-11076 identifikatzailea erreserbatu da.
  • VDPren Java administrazio kontsolaren SSL/TLSren gako pribatua VDPren Java kudeaketaren bezero paketean filtra daiteke. Hori baliatuz, datuen lotura geruza berean autentifikatutako erasotzaile batek MITM (man-in-the-middle) erako erasoa egin lezake kudeaketa kontsolako erabiltzaileen aurka eta informazioaren agerpena eragin. Ahultasun horretarako CVE-2018-11077 identifikatzailea erreserbatu da.
Etiketak: Eguneraketa, VMware, Ahultasuna