Firma VMware wydała nową poprawkę bezpieczeństwa, która naprawia wiele bardzo poważnych luk w pięciu różnych produktach.
Biorąc pod uwagę liczbę produktów, których dotyczy problem, oraz niszczycielski potencjał luk, firma VMware wezwała użytkowników do niezwłocznego zastosowania poprawki.
Osoby, które nie mogą zainstalować poprawki od razu, mogą również zastosować obejście, aby chronić swoje punkty końcowe.
poważne konsekwencje
W najnowszej aktualizacji firma VMware naprawiła jedną usterkę umożliwiającą zdalne wykonanie kodu wstrzykiwania wzorca po stronie serwera (CVE-2022-22954), dwie luki w zabezpieczeniach umożliwiające obejście uwierzytelniania ACS OAuth2 (CVE-2022-22955, CVE-2022-22956 ) oraz dwie luki w zabezpieczeniach umożliwiające zdalne wstrzyknięcie JDBC . luki w wykonaniu kodu (CVE-2022-22957, CVE-2022-22958).
Ta sama poprawka naprawia również mniej niebezpieczne błędy, w tym CVE-2022-22959 (umożliwia fałszowanie żądań między witrynami), CVE-2022-22960 (umożliwia podniesienie uprawnień), CVE-2022-22961 (umożliwia dostęp do nieautoryzowanych informacji) .
Produkty VMware narażone na te luki to VMware Workspace ONE Access (Access), VMware Identity Manager (vIDM), VMware vRealize Automation (vRA), VMware Cloud Foundation i vRealize Suite Lifecycle Manager.
Błędy są ważne i użytkownicy powinni się spieszyć z zastosowaniem poprawki:
„Tę krytyczną lukę należy natychmiast załatać lub złagodzić zgodnie z zaleceniami VMSA-2021-0011. Konsekwencje tej luki są poważne” – stwierdziło VMware.
„Wszystkie środowiska są różne, mają różną tolerancję na ryzyko i mają różne zabezpieczenia i dogłębną kontrolę w celu ograniczenia ryzyka, dlatego klienci muszą sami podejmować decyzje dotyczące dalszego postępowania. Jednak biorąc pod uwagę wagę luki, zdecydowanie zalecamy zalecając natychmiastowe działanie.”
Obecnie nie ma dowodów na to, że wady mają charakter nadużycia, ale teraz, gdy informacje są dostępne, może to być tylko kwestią czasu.
VMware dodał, że każdy użytkownik, który nie może naprawić, może zastosować obejście, a więcej szczegółów znajduje się pod tym linkiem (otwiera się w nowej karcie).
„Rozwiązania, choć praktyczne, nie eliminują luk i mogą wprowadzać dodatkowe komplikacje, których nie wprowadziłyby poprawki” – ostrzegła firma. „Chociaż decyzja o zastosowaniu łatki lub obejścia należy do Ciebie, firma VMware nadal zdecydowanie zaleca zainstalowanie łatki jako najłatwiejszy i najbardziej niezawodny sposób rozwiązania tego problemu”.
Przez: BleepingComputer (Otwiera się w nowej karcie)