Af Eskil Sørensen, 21/10/24
VMWare frigiver en rettelse
VMWare har frigivet en rettelse til HCX platformen, som adresserer en alvorlig SQL injection-sårbarhed, som kan føre til fjernafvikling af kode (RCE) uden administrative rettigheder. Sårbarheden har id'et CVE-2024-38814 og en CVSS-score på 8,8.
Sårbarheden giver en ondsindet aktør, som er autentificeret, men har ikke administrative rettigheder, mulighed for at indtaste specielt udformede SQL-forespørgsler og udføre uautoriseret RCE på HCX-manageren.
De berørte systemer er
- VMware HCX 4.8.0-4.8.2
- VMware HCX 4.9.0-4.9.1
- VMware HCX 4.10.0
Der er endnu ingen rapporter om aktiv udnyttelse.
Det anbefales at opdatere sårbare versioner.
Links:
https://docs.vmware.com/en/VMware-HCX/4.10.1/rn/vmware-hcx-4101-release-notes/index.html