VMware paikkaa kriittisen haavoittuvuuden

VMware on julkaissut korjauspäivitykset kahteen haavoittuvuuteen.

Kriittinen haavoittuvuus mahdollistaa ohjelmakoodin syöttämisen vCenter Serveriin, vCloud Directoriin ja vRealize Operations Manageriin ilman kirjautumista. Näissä tuotteissa käytetty Oracle JRE JMX:n RMI-palvelu käsittelee kirjautumispyynnöt sellaisella tavalla, joka mahdollistaa ohjelmakoodin suorittamisen kohteessa. Haavoittuvuus liittyy Java-objektien deserialisointiin.

Tärkeäksi luokiteltu haavoittuvuus VMware Workstation 11:ssä ja Player 7:ssa mahdollistaa Windows-alustalla paikallisen käyttövaltuuksien laajentamisen.

  • Palvelimet ja palvelinsovellukset
  • Työasemat ja loppukäyttäjäsovellukset
  • Verkon aktiivilaitteet
  • Matkaviestinjärjestelmät
  • Sulautetut järjestelmät
  • Muut

Kohde

  • Palvelimet ja palvelinsovellukset
  • Työasemat ja loppukäyttäjäsovellukset
Lisätietoa +

Hyökkäystapa

  • Paikallisesti
  • Ilman kirjautumista
  • Etäkäyttö
Lisätietoja hyökkäystavasta +

Hyväksikäyttö

  • Komentojen mielivaltainen suorittaminen
  • Käyttövaltuuksien laajentaminen
Lisätietoja hyväksikäytöstä +

Ratkaisu

  • Korjaava ohjelmistopäivitys
  • Ongelman rajoittaminen
Lisätietoja ratkaisusta +

Haavoittuvat ohjelmistot:

  • vCenter Server 6.0, versiota 6.0 U2 edeltävät versiot
  • vCenter Server 5.5, versioita 5.5 U3d (Windows) ja 5.5 U3 (VCSA) edeltävät versiot
  • vCenter Server 5.1, versiota 5.1 U3b edeltävät versiot
  • vCenter Server 5.0, versiota 5.0 U3e edeltävät versiot
  • vCloud Director, versiota 8.0.1.1 edeltävät versiot
  • vCloud Director, versiota 5.6.5.1 edeltävät versiot
  • vCloud Director, versiota 5.5.6.1 edeltävät versiot
  • vSphere Replication, versiota 6.0.0.3 edeltävät versiot
  • vSphere Replication, versiota 5.8.1.2 edeltävät versiot
  • vSphere Replication, versiota 5.6.0.6 edeltävät versiot
  • vRealize Operations Manager 6.x (non-appliance version)
  • VMware Workstation, versiota 11.1.3 edeltävät versiot
  • VMware Player, versiota 7.1.3 edeltävät versiot

Ratkaisu- ja rajoitusmahdollisuudet:

Päivitä ohjelmistot korjattuihin versioihin valmistajan ohjeiden mukaisesti.

Lisätietoa:

Päivityshistoria

Asiasanat: Tietoturva , Palvelin , Haavoittuvuudet

LinkedIn Print

Yhteystiedot

logo

Viestintävirasto

Kyberturvallisuuskeskus

PL 313, 00181 Helsinki


Mediayhteydenotot puhelimitse 0295 390 248