Af Eskil Sørensen, 18/06/24
VMware, som nu er blevet en del af softwaregiganten Broadcom og derfor betegnes som ”VMware by Broadcom”, har afsløret et par kritiske fejl i vCenter Server, der bruges til at administrere virtuelle maskiner i Cloud Foundation og vSphere-suiter.
Det skriver The Register.
Der er tale om to sårbarheder med id’erne CVE-2024-37079 og CVE-2024-37080, som begge har fået en CVSS-score på 9,8.
VMware beskriver begge fejl som heap-overflow sårbarheder i implementeringen af DCE/RPC-protokollen. Sårbarhederne kan udnyttes af en ondsindet aktør med netværksadgang til vCenter Server, hvis der afsendes en specielt udformet netværkspakke. Succesfuld udnyttelse kan føre til fjernafvikling af kode.
DCE/RPC (som står for Distributed Computing Environment/Remote Procedure Calls) er et middel til at kalde en procedure på en ekstern maskine, som var det en lokal maskine.
Patchede versioner af vCenter Server og Cloud Foundation er tilgængelige, og der er fra Broadcoms side ikke kendskab til aktuel udnyttelse in-the-wild.
Det fremgår ikke, om fejlene påvirker ældre versioner af vSphere - version 6.5 og 6.7, som er end-of-life.
Der er også afsløret en tredje fejl - CVE-2024-37081, der har scoren 7,8. Den beskrives som "lokale privilegieeskaleringssårbarheder på grund af fejlkonfiguration af sudo." Den giver en godkendt lokal bruger med ikke-administrative rettigheder mulighed hæve privilegier til at root på vCenter Server Appliance." Også denne er rettet.
Links:
https://www.theregister.com/2024/06/18/vmware_criticial_vcenter_flaws/
https://support.broadcom.com/web/ecx/support-content-notification/-/exte...