VMware fikser fire alvorlige vRealize-sårbarheter

Virtualiseringsgiganten VMware har gitt ut oppdateringer for fire sårbarheter i sitt vRealize Log Insight-produkt, hvorav to har en "kritisk" alvorlighetsgrad.

Det kritiske paret er CVE-2022-31703 og CVE-2022-31704. Førstnevnte er en kataloggjennomgang sårbarhet, mens sistnevnte er en ødelagt tilgangskontrollsårbarhet. Begge fikk en alvorlighetsgrad på 9.8, og begge lar trusselaktører få tilgang til ressurser som ellers skulle være utilgjengelige.

"En uautentisert, ondsinnet aktør kan injisere filer i operativsystemet til en berørt enhet som kan resultere i ekstern kjøring av kode," forklarte VMware.

Sensitive data i fare

De to andre feilene er CVE-2022-31710 og CVE-2022-31711. Førstnevnte er en deserialiseringssårbarhet som lar trusselaktører tukle med data og starte tjenestenektangrep. Den har fått en alvorlighetsgrad på 7.5. Sistnevnte er en 5.3-poengs informasjonsavsløringsfeil som kan utnyttes til å stjele sensitive data.

For å beskytte mot feilene, anbefales brukere å bruke lappen umiddelbart og ta med endepunktene sine (åpnes i ny fane) til versjon 8.10.2. De som ikke kan bruke oppdateringen akkurat nå, kan også bruke løsningen, som du finner instruksjonene for her. (åpnes i ny fane).

Feilene ble opprinnelig oppdaget av Zero Day Initiative, bekreftet publikasjonen. Programmets medlemmer sa at så langt er det ingen bevis for at feilene har blitt misbrukt i naturen.

"Vi er ikke klar over noen offentlig utnyttelseskode eller aktive angrep som bruker denne sårbarheten," fortalte Dustin Childs, leder for trusselbevissthet ved Trend Micros ZDI. Registeret. "Selv om vi ikke har noen nåværende planer om å publisere proof of concept for denne feilen, fortsetter forskningen vår i VMware og andre virtualiseringsteknologier."

vRealize Log Insight er et loggadministrasjonsverktøy. Selv om det ikke er like populært som noen av VMwares andre løsninger, gjør selskapets tilstedeværelse i både offentlig og privat sektor mest sannsynlig alle produktene til et attraktivt mål for nettkriminelle som leter etter sårbarheter.

Via: Registeret (åpnes i ny fane)

kilde