VMware fixar fyra allvarliga vRealize-sårbarheter

Virtualiseringsjätten VMware har släppt patchar för fyra sårbarheter i sin vRealize Log Insight-produkt, varav två har en "kritisk" svårighetsgrad.

Det kritiska paret är CVE-2022-31703 och CVE-2022-31704. Den förra är en katalogövergångssårbarhet, medan den senare är en trasig åtkomstkontrollsårbarhet. Båda fick en allvarlighetsgrad på 9.8 och båda tillåter hotaktörer att komma åt resurser som annars borde vara otillgängliga.

"En oautentiserad, skadlig aktör kan injicera filer i operativsystemet på en påverkad apparat vilket kan resultera i fjärrkörning av kod," förklarade VMware.

Känsliga data i riskzonen

De andra två bristerna är CVE-2022-31710 och CVE-2022-31711. Den förra är en sårbarhet för deserialisering som gör att hotaktörer kan manipulera data och starta överbelastningsattacker. Den har fått 7.5 i svårighetsgrad. Det sistnämnda är en 5.3-poäng informationsavslöjande bugg som kan utnyttjas för att stjäla känslig data.

För att skydda mot bristerna, rekommenderas användare att applicera plåstret omedelbart och ta med sina slutpunkter (öppnas i ny flik) till version 8.10.2. De som inte kan applicera plåstret just nu kan också tillämpa lösningen, för vilken instruktionerna finns här. (öppnas i ny flik).

Bristerna upptäcktes ursprungligen av Zero Day Initiative, bekräftade publikationen. Programmets medlemmar sa att det hittills inte finns några bevis för att bristerna har missbrukats i det vilda.

"Vi är inte medvetna om någon offentlig exploateringskod eller aktiva attacker som använder den här sårbarheten," sa Dustin Childs, chef för hotmedvetenhet på Trend Micros ZDI, till Registret. "Även om vi inte har några aktuella planer på att publicera proof of concept för denna bugg, fortsätter vår forskning inom VMware och andra virtualiseringsteknologier."

vRealize Log Insight är ett logghanteringsverktyg. Även om det inte är lika populärt som vissa av VMwares andra lösningar, gör företagets närvaro i både den offentliga och privata sektorn med största sannolikhet alla dess produkter till ett attraktivt mål för cyberbrottslingar som letar efter sårbarheter.

via: Registret (öppnas i ny flik)

Källa