VMware prosi o pilną aktualizację oprogramowania Aria for Network Operations, które jest używane do zarządzania środowiskami chmurowymi, w których firma integruje swoje usługi, takie jak vRealize Automation, vRealize Operations, vRealize Network Insight i CloudHealth. Konsola Aria Hub dostarcza użytkownikom scentralizowane widoki takich środowisk, a także dostarcza im narzędzia, dzięki którym mogą można nimi zarządzać. Luki znajdują się w komponencie noszącym nazwę Aria Operations for Networks i mogą być wykorzystywane przez hakerów do zaburzania ruchu kontrolowanego przez protokół TCP.

Pierwsza i najpoważniejsza luka wynika z faktu, że haker może wyłączyć generowanie unikalnego klucza kryptograficznego i w efekcie omijać etap uwierzytelniania się. Firma VMware oceniła ten problem w zakresie ważności krytycznej z maksymalną oceną w systemie Common Vulnerability Scoring System (CVSS) wynoszącą 9,8 (podczas gdy maksymalna wartość tego wskaźnika wynosi 10). Drugiej luce, która pozwala hakerowi nadpisywać pliki, przypisano wartość 7,2.

Zobacz również:

• Przeglądarka Chrome będzie jeszcze jakiś czas akceptować pliki cookie
• Przeglądarka Chrome będzie bezpieczniejsza
• IDC: Wzrost popularności sieci SD-WAN wynika z wymagań dotyczących łączności w chmurze i atrakcyjności SASE

W przypadku pierwszej luki haker może ominąć uwierzytelnianie Secure Sockets Shell (SSH), uzyskując w ten sposób nieuprawniony dostęp do interfejsu wiersza poleceń Aria Operations for Networks. VMware stwierdziło, że dzięki luce umożliwiającej zapis plików uwierzytelniona osoba atakująca z dostępem administracyjnym do VMware Aria Operations for Networks może zapisywać pliki w dowolnych lokalizacjach, co może skutkować zdalnym wykonaniem kodu.

VMware informuje, że luki znajdują się w oprogramowaniu Aria Operations for Networks On-Prem w wersjach 6.2, 6.3, 6.4, 6.5.1, 6.6, 6.7, 6.8, 6.9 i 6.10, a aktualizacja do wersji 6.11 rozwiązuje problemy. Klienci mogą również pobrać tutaj łatki usuwające luki, które znajdują się tutaj.