Компания VMware выпустила обновления, исправляющие критическую уязвимость в vCenter Server и VMware Cloud Foundation, которую можно использовать для удаленного выполнения кода на уязвимых серверах. Из-за критического характера этой проблемы VMware выпустила патчи даже для старых продуктов, срок поддержки которых уже истек.
Уязвимость, получившая идентификатор CVE-2023-34048, набрала 9,8 балла из 10 возможных по шкале CVSS и была обнаружена специалистам Trend Micro Zero Day Initiative. Проблема связана с out-of-bounds записью и найдена в имплементации протокола DCE/RPC.
Благодаря CVE-2023-34048, неаутентифицированные злоумышленники могут проводить удаленные атаки низкой сложности, которые не требуют взаимодействия с пользователем. При этом подчеркивается, что у VMware нет доказательств того, что ошибка CVE-2023-34048 уже использовалась злоумышленниками в атаках.
«Хотя VMware не упоминает продукты с истекшим сроком эксплуатации в своих рекомендациях, в силу критического характера этой уязвимости и отсутствия иных способов ее устранения VMware выпустила общедоступный патч для vCenter Server 6.7U3, 6.5U3 и VCF 3.x, — пишут разработчики. — По тем же причинам VMware выпустила дополнительные исправления для vCenter Server 8.0U1. Также доступны патчи Async vCenter Server для VCF 5.x и 4.x».
Поскольку обходного пути не существует, VMware настоятельно рекомендует администраторам строго контролировать доступ к компонентам и интерфейсам управления vSphere, включая хранилища и сетевые компоненты.
Также сообщается, что порты 2012/TCP, 2014/TCP и 2020/TCP могут использоваться в атаках, направленных на эту уязвимость.
Кроме того, свежие патчи устранили еще одну проблему, CVE-2023-34056 (4,3 балла по шкале CVSS), связанную с частичным раскрытием информации и затрагивающую vCenter Server. Этот баг позволял злоумышленниками с неадминистративными привилегиями получить доступ к конфиденциальным данным.
