Af Eskil Sørensen, 10/10/22
VMware har torsdag i sidste uge udsendt patches til en vCenter Server-sårbarhed, der kan føre til afvikling af vilkårlig kode.
Det skriver Security Week.
Fejlen har id’et CVE-2022-31680 og en CVSS-score på 7,2. Den beskrives som usikker ’deserialization vulnerability’ i platformservicecontrolleren (PSC). Denne sårbarhed har nummer 502 på Common Weakness Enumeration-listen. CWE er communicy-drevet opgørelse over de forskellige typer af sårbarheder, der findes i software og hardware.
Sårbarheden kan udnyttes af en aktør med administratoradgang på vCenter-serveren til at afvikle vilkårlig kode på det underliggende operativsystem, der er vært for vCenter-serveren. vCenter-serveren er et centraliseret administrationsværktøj, der bruges til at styre virtuelle maskiner og ESXi-værter sammen med deres afhængige komponenter. Yderligere en sårbarhed med id’et CVE-2022-31681 skulle også være rettet i samme ombæring. Denne har dog en lav score, som i VMwares advisory angives til at ligge mellem 3,8 og 7,2.
VMware anbefaler, at alle kunder opdaterer til en patchet version af den berørte software. Der skulle ikke være aktuelle udnyttelser af sårbarheden.
Links:
https://www.securityweek.com/vmware-patches-code-execution-vulnerability-vcenter-server