Virtualisointijätti VMware on julkaissut korjaustiedostot neljään vRealize Log Insight -tuotteensa haavoittuvuuteen, joista kahdella on "kriittinen" vakavuusluokitus.
Kriittinen pari ovat CVE-2022-31703 ja CVE-2022-31704. Edellinen on hakemiston läpikulkuhaavoittuvuus, kun taas jälkimmäinen on rikkinäinen kulunvalvontahaavoittuvuus. Molemmille annettiin vakavuuspisteet 9.8, ja molemmat antavat uhkatekijöille pääsyn resursseihin, joihin muuten ei olisi pääsyä.
"Todistamaton, haitallinen toimija voi syöttää tiedostoja vaikutuksen alaisen laitteen käyttöjärjestelmään, mikä voi johtaa koodin etäsuorittamiseen", VMware selitti.
Arkaluonteiset tiedot vaarassa
Kaksi muuta virhettä ovat CVE-2022-31710 ja CVE-2022-31711. Edellinen on deserialisointihaavoittuvuus, jonka avulla uhkatekijät voivat peukaloida tietoja ja käynnistää palvelunestohyökkäyksiä. Vakavuusasteeksi on annettu 7.5. Jälkimmäinen on 5.3-pisteinen tiedon paljastamisvirhe, jota voidaan hyödyntää arkaluontoisten tietojen varastamiseen.
Virheiltä suojaamiseksi käyttäjiä kehotetaan kiinnittämään korjaustiedosto välittömästi ja tuomaan päätepisteensä (avautuu uuteen välilehteen) versioon 8.10.2. Ne, jotka eivät voi asentaa korjaustiedostoa juuri nyt, voivat myös käyttää kiertotapaa, jonka ohjeet löytyvät tätä (avautuu uuteen välilehteen) .
Virheet havaittiin alun perin Zero Day Initiativen toimesta, julkaisu vahvisti. Ohjelman jäsenet sanoivat, että toistaiseksi ei ole todisteita siitä, että puutteita olisi käytetty väärin luonnossa.
"Emme ole tietoisia julkisesta hyväksikäyttökoodista tai aktiivisista hyökkäyksistä, jotka käyttävät tätä haavoittuvuutta", Dustin Childs, Trend Micron ZDI:n uhkatietoisuuden johtaja, kertoi. Rekisteri . "Vaikka meillä ei ole tällä hetkellä suunnitelmia julkaista todisteita tämän virheen konseptista, VMwaren ja muiden virtualisointitekniikoiden tutkimuksemme jatkuu."
vRealize Log Insight on lokinhallintatyökalu. Vaikka se ei ole yhtä suosittu kuin jotkin muut VMwaren ratkaisut, yrityksen läsnäolo sekä julkisella että yksityisellä sektorilla tekee todennäköisesti kaikista sen tuotteista houkuttelevan kohteen haavoittuvuuksia etsiville kyberrikollisille.
Via: Rekisteri (avautuu uuteen välilehteen)